MapSVG WordPress-Plugin: Uneingeschränkter Datei-Upload erlaubt Web Shell

Zusammenfassung

Das WordPress-Plugin MapSVG (Slug mapsvg-lite-interactive-vector-maps) bis Version 8.16.1 beschränkt den Typ hochgeladener Dateien nicht. Ein Angreifer, der die Upload-Funktion erreichen kann, kann eine Web Shell auf dem Webserver ablegen und die Website übernehmen. Patchstack beschreibt die erforderliche Berechtigung als Contributor-Stufe, die genaue Berechtigungsanforderung ist im CVE-Eintrag jedoch nicht bestätigt.

Betroffen

• MapSVG (WordPress-Plugin, Slug mapsvg-lite-interactive-vector-maps) bis einschliesslich 8.16.1
• NVD- und CNA-Daten nennen alle Versionen bis einschliesslich 8.16.1

Behoben in

• Version 8.16.2 (gemäss Patchstack-Advisory und CNA-Lösung)
• Changelog des Herstellers für diese CVE: Unbekannt.

Umgehung

Unbekannt. Es wurde kein vom Hersteller stammender Workaround gefunden.

Ausnutzung

• CISA SSVC (Vulnrichment): Exploitation none, automatisierbar no, technische Auswirkung total
• Patchstack stuft die Priorität als mittel ein, erwartet eine Ausnutzung und hat eine Schutzregel veröffentlicht.
• Nicht als aktiv ausgenutzt gelistet. Kein öffentlicher Proof of Concept gefunden.
• Der CVSS-Basiswert weicht ab: CNA 9.9 (CRITICAL), VulDB 6.3 (Medium).

Unsere Empfehlung

• Alle WordPress-Websites erfassen und prüfen, ob MapSVG installiert ist und welche Version läuft.
• MapSVG auf Version 8.16.2 oder neuer aktualisieren und die installierte Version überprüfen.
• Benutzerkonten mit Contributor- oder höherer Rolle prüfen und nicht benötigte Konten entfernen.
• wp-content/uploads auf unerwartete PHP- oder andere ausführbare Dateien prüfen und neue Uploads kontrollieren.
• Plugin deaktivieren, falls es nicht zwingend benötigt wird.
• Ausführung von PHP in Upload-Verzeichnissen blockieren.
• Patchstack-Advisory und NVD überwachen, da der NVD-Status Deferred ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory: MapSVG arbitrary file upload patchstack.com
• WordPress.org plugin page: MapSVG wordpress.org
• WPScan: MapSVG plugin vulnerabilities wpscan.com
• VulDB entry 422302 vuldb.com
• OpenCVE: CVE-2026-111406 app.opencve.io
• HOL Guard: CVE-2026-111406 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:14.