Mapster WP Maps: Fehlende Autorisierung in REST API erlaubt Änderung von Beiträgen
Das WordPress-Plugin Mapster WP Maps in Versionen vor 2.0.6 besitzt eine REST-API-Route, die Beitragsdaten schreibt, ohne eine Berechtigungsprüfung durchzuführen. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann so die Titel beliebiger Beiträge überschreiben, veröffentlichte Beiträge erstellen und die gespeicherten Einstellungen des Plugins verändern. Für den Angriff ist kein Login nötig, daher ist jede erreichbare WordPress-Seite mit einer betroffenen Version gefährdet.
Mapster · WP Maps
