Vulnerabilidad en GEO my WP de ninjew (CVE-2026-9757)

El plugin GEO my WP para WordPress es vulnerable a inyección SQL a través de los parámetros 'swlatlng' y 'nelatlng' en todas las versiones hasta, e incluyendo, la 4.5.5. Los parámetros se leen de $_SERVER['QUERY_STRING'] a través de parse_str() (eludiendo la protección wp_magic_quotes de WordPress, que solo cubre $_POST/$_GET/$_COOKIE/$_REQUEST), luego cada uno se divide por ',' a través de explode() y los fragmentos resultantes se interpolan directamente en una cláusula SQL BETWEEN en gmw_get_locations_within_boundaries_sql() sin validación is_numeric(), conversión (float), esc_sql(), o $wpdb->prepare(). Esto hace posible que atacantes no autenticados añadan consultas SQL adicionales a consultas ya existentes que pueden usarse para extraer información sensible de la base de datos. La explotación requiere que el sitio aloje el shortcode de resultados de búsqueda Posts Locator ('[gmw form="results" form_id=N]') en una página pública y que tenga al menos una publicación publicada con una fila gmw_location asociada.