🟡 CVE-2026-8386: Medium Schwachstelle

„`html

Zusammenfassung

Die WP Go Maps WordPress-Erweiterung in Versionen vor 10.0.10 weist eine Sicherheitslücke auf, die es unauthentifizierten Benutzern ermöglicht, auf nicht freigegebene Marker-Datensätze zuzugreifen. Dies gefährdet personenbezogene Daten (PII) sowie geografische Koordinaten durch eine fehlende Genehmigungsvalidierung im öffentlichen REST-Endpunkt.

Betroffene Systeme

WP Go Maps WordPress-Plugin vor Version 10.0.10. Das Plugin wird auf verschiedenen WordPress-Installationen weltweit eingesetzt und ist über das offizielle WordPress-Plugin-Repository erhältlich.

Technische Details

Der öffentliche Single-Marker REST-Endpunkt (/wp-json/wpgmza/v1/markers/{id}) implementiert keine Approval-State-Filterung. Dies ermöglicht es Angreifern, durch wiederholte API-Anfragen alle Marker-Einträge aufzuzählen und abzurufen, unabhängig von deren Genehmigungsstatus.

Die Sicherheitslücke betrifft insbesondere:

• Adressfelder mit vollständigen geografischen Positionen
• Beschreibungsfelder mit sensiblen Informationen
• Ungefilterte Koordinatendaten (Latitude/Longitude)

Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung. Ein einfaches Skript mit sequentiellen API-Aufrufen genügt zur Datenexfiltration.

Empfohlene Massnahmen

• Sofortige Aktualisierung auf WP Go Maps 10.0.10 oder höher
• Überprüfung von Logdateien auf verdächtige REST-API-Anfragen
• Audit aller veröffentlichten Marker-Daten auf unbeabsichtigte Offenlegung
• Implementierung von Rate-Limiting auf REST-API-Endpunkten
• Evaluierung von Web Application Firewalls zum Schutz der REST-API

Bewertung

Mit einem CVSS-Score von 5.3 (Medium) ist dies eine moderat kritische Schwachstelle. Die fehlende Authentifizierung und die direkte Exposition personenbezogener Daten erhöhen das Risiko erheblich. Ein Patch ist aktuell nicht verfügbar – ein Upgrade ist die einzige Lösung.

„`