CVE-2026-9060: falha de baixa gravidade em Store Locator WordPress
Agile Store Locator < 1.6.6 - Admin+ Stored XSS via map_style
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
28Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 3.5epss 0.1%
The Store Locator WordPress plugin before 1.6.6 does not sanitize and escape one of its settings before storing it and outputting it on the Store Locator WordPress plugin before 1.6.6 admin page, allowing high-privileged users such as administrators to perform Stored Cross-Site Scripting attacks even when the `unfiltered_html` capability is disallowed (e.g. in a multisite network where the super admin visits the page).
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:N
Produtos afetados
Unknown · Store Locator WordPressPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/1ed01413-09a2-4a2e-be5b-375f2a327d0d/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Store Locator WordPress
No mesmo produto, das mais perigosas para as menos.
CVE-2023-4151MEDIUMStore Locator WordPress < 1.4.13 - Reflected XSSEPSS 0.7%CVE-2026-9062LOWAgile Store Locator < 1.6.9 - Admin+ Arbitrary File Read via Path TraversalEPSS 0.5%CVE-2022-4832MEDIUMStore Locator WordPress < 1.4.9 - Contributor+ Stored XSS via ShortcodeEPSS 0.5%CVE-2026-9061LOWAgile Store Locator < 1.6.9 - Admin+ Stored XSS via logo_nameEPSS 0.1%