针对影响超30万个网站的WordPress WP Go Maps插件安全漏洞，官方已发布安全公告。该缺陷允许经身份验证的订阅者权限用户修改地图引擎全局设置。
WP Go Maps 插件概述
WP Go Maps 是一款广泛应用于本地企业WordPress站点的插件，支持在页面和文章中嵌入可自定义地图（如联系页、配送区及门店位置），且无需代码即可管理标记与设置。
据统计，该插件在2025年已披露四个漏洞，2024年为七个。历史漏洞最早可追溯至2019年，但早期发生频率较低。
漏洞详情与修复建议
漏洞原理及风险
该漏洞源于插件 processBackgroundAction 函数缺失能力检查机制。正常情况下，该检查用于验证用户执行特定操作的权限；由于缺失此验证，函数会处理无权用户的请求。
攻击者仅需具备最低级别的“订阅者”角色（前提是网站开放该级别注册）即可利用此漏洞，修改适用于全站的全局地图引擎设置。Wordfence 将其定义为因权限检查缺失导致的数据未经授权修改，即低权限用户越权更改了本应仅限管理员操作的核心配置。
“WordPress 的 WP Go Maps（前身为 WP Google Maps）插件存在漏洞，由于在 processBackgroundAction 函数中缺少权限检查，导致所有 10.0.04 及更早版本中的数据可被未经授权修改。这使得具有订阅者级别及以上访问权限的已认证攻击者能够修改全局地图引擎设置。”
任何运行受影响版本且启用了订阅者注册的网站均面临已认证攻击者的威胁。
修复方案
该漏洞影响 WP Go Maps 10.0.04 及更早版本。目前补丁已发布，建议网站所有者立即将插件更新至 10.0.05 或更高版本以消除安全隐患。