CVE-2026-9594
El complemento WP Maps – Google Maps, OpenStreetMap, Mapbox, Store Locator, Listing, Directorio & Filtros para WordPress es vulnerable a Inyección de Script Cross-Sitio Almacenado (XSS) mediante el parámetro 'location_messages' en todas las versiones hasta y incluyendo la 4.9.4 debido a una insuficiente sanitización de entrada y escapada de salida. Esto permite que los atacantes autenticados, con acceso administrador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. La explotación requiere que el atacante tenga la capacidad personalizada wpgmp_manage_location, que se concede por defecto a los administradores pero puede asignarse a roles con privilegios inferiores a través de la pantalla de permisos del complemento.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org