Mapster WP Maps jusqu’à la version 2.0.5 incluse est vulnérable à une XSS stockée exploitable sans authentification via sa route REST save-mapmaker. Un attaquant peut enregistrer une valeur de configuration qui est ensuite insérée sans échappement dans un attribut de style; mettre à jour dès qu’un correctif est disponible.
Source : NVD — CVE-2026-107743
Analyse technique
La route REST ne vérifie pas les permissions et accepte une configuration insuffisamment assainie; loading_background_color est concaténé dans un attribut de style sans échappement HTML d’attribut.
Impact, versions et correctif
Détection / vérification
Vérifier Mapster WP Maps jusqu’à 2.0.5 inclus.
Action recommandée
Mettre à jour le plugin lorsqu’un correctif est disponible et contrôler les cartes et configurations enregistrées par des tiers.
Sources
Priorisation DFS : P3 · 1 source(s).