Vulnerabilidad en plugin de WordPress Ultimate-Map (CVE-2026-8907)

El plugin WP-Ultimate-Map para WordPress es vulnerable a la falsificación de petición en sitios cruzados en versiones hasta la 1.1, inclusive. Esto se debe a la falta de validación de nonce en la función process_init() enganchada a admin_init, que guarda la configuración del plugin (zoom-level, focus-lat, focus-lng, sel_places, sel_routes) a través de update_option() basándose únicamente en la presencia de un parámetro POST 'save-setting'. Además, los valores guardados - particularmente zoom-level - se almacenan sin sanitización y luego se hacen eco en un atributo HTML (y JavaScript en línea) en la página de configuración sin escape. Esto hace posible que atacantes no autenticados cambien la configuración del plugin e inyecten scripts web arbitrarios a través de una petición falsificada, siempre que puedan engañar a un administrador del sitio para que realice una acción como hacer clic en un enlace.