Platform
wordpress
Component
wp-google-map-plugin
Opgelost in
5.0.0
CVE-2026-3222 is a privilege escalation vulnerability found in the openclaw component. This flaw allows an attacker to silently widen the scope of a paired device from 'operator.read' to 'operator.admin', potentially enabling Remote Code Execution (RCE) on the node. The vulnerability affects versions of openclaw up to and including 2026.3.24, and a patch is available in version 2026.3.25.
Een succesvolle exploitatie van deze SQL Injection kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot de WordPress database. Aanvallers kunnen gevoelige informatie zoals gebruikersnamen, wachtwoorden, en andere applicatiegegevens extraheren. Afhankelijk van de database structuur en de privileges van de database gebruiker, kan de impact variëren van het uitlezen van data tot het wijzigen of verwijderen ervan. De kwetsbaarheid maakt gebruik van de FlipperCodeModelBase::iscolumn() functie die user input in backticks verkeerd interpreteert, waardoor de escsql() functie wordt omzeild. De wpgmpajaxcall handler, toegankelijk voor niet-geauthenticeerde gebruikers, verergert de situatie door de ongesanitized locationid parameter door te geven aan wpgmpreturnfinalcapability.
Deze kwetsbaarheid is openbaar bekend en de details zijn beschikbaar. Er is geen informatie over actieve exploitatiecampagnes op dit moment. De kwetsbaarheid is opgenomen in het CISA KEV catalogus. Er zijn publieke Proof-of-Concept (PoC) exploits beschikbaar, wat het risico op misbruik verhoogt.
Exploit Status
EPSS
0.21% (43% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2026-3222 is het updaten van de WP Maps plugin naar versie 4.9.2 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het tijdelijk uitschakelen van de plugin of het implementeren van een Web Application Firewall (WAF) regel om verzoeken met potentieel schadelijke location_id parameters te blokkeren. Controleer de WordPress access logs op verdachte patronen die wijzen op SQL Injection pogingen. Na de upgrade, verifieer de integriteit van de database en controleer of er ongeautoriseerde wijzigingen zijn aangebracht.
Update naar versie 4.9.2, of een nieuwere gepatchte versie
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
It's a type of attack where the attacker infers information from the database by observing the server's response times. There's no direct visible response, but the attacker deduces information based on how long the server takes to respond to different queries.
It allows an attacker to access sensitive database information, modify data, or even gain control of the website, which can have severe security and privacy consequences.
As a temporary measure, restrict access to the wpgmpajaxcall AJAX endpoint to authenticated users and monitor server logs for suspicious activity.
If you are using a version of WP Maps prior to 4.9.2, your website is vulnerable. You can use vulnerability scanning tools to confirm.
You can find more information about CVE-2026-3222 in vulnerability databases such as the National Vulnerability Database (NVD) and on the WP Maps support forums.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.