CVE-2026-8732

ملخص

The WP Maps Pro plugin for WordPress is vulnerable to Privilege Escalation via Administrator Account Creation in all versions up to, and including, 6.1.0. This is due to the wpgmp_temp_access_ajax AJAX action being registered with wp_ajax_nopriv_ and protected only by a nonce check using the fc-call-nonce nonce, which is publicly embedded into every frontend page via wp_localize_script as the nonce field of the wpgmp_local JavaScript object, rendering the check ineffective as an access control mechanism. This makes it possible for unauthenticated attackers to invoke the wpgmp_temp_access_support handler with check_temp=false, which unconditionally creates a new WordPress user with the hardcoded role of administrator via wp_insert_user() and returns a magic login URL that, when visited, calls wp_set_auth_cookie() to fully authenticate the attacker as the newly created administrator, resulting in complete site takeover.

• CVE-2026-8732-EXPLOITاستغلال

  PoC لـ CVE-2026-8732 (WP Maps Pro <= 6.1.0)

• CVE-2026-8732-PoCاستغلال

  CVE-2026-8732 | WP Maps Pro <= 6.1.0 إنشاء مسؤول بدون مصادقة

• CVE-2026-8732-POCاستغلال

  ماسح جماعي متعدد الخيوط لثغرة CVE-2026-8732 في إضافة WP Google Map Pro الخاصة بووردبريس. يقوم بأتمتة استخراج الـ nonce، واستغلال التوكن، وإنشاء حساب مدير مخفي على المواقع المعرضة للخطر.

• CVE-2026-8732استغلال

  WP Maps Pro <= 6.1.0 - تصعيد امتيازات بدون مصادقة عبر إنشاء حساب مسؤول

• CVE-2026-8732استغلال

  استغلال آلي من 8 مراحل لـ CVE-2026-8732، وهو تصعيد امتيازات غير مصادق عليه في WP Maps Pro ≤ 6.1.0. يستخدم المعالجة المتعددة و asyncio لمسح الأهداف، واستخراج nonces، وإنشاء حسابات إدارية.

• CVE-2026-8732استغلال

  WP Maps Pro <= 6.1.0 - تصعيد امتيازات بدون مصادقة عبر إنشاء حساب مسؤول في إجراء AJAX الخاص بـ wpgmp_temp_access_ajax