CVE-2026-104993
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka GeoDirectory – WP Business Directory Plugin and Classified Listings Directory dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'email (Contact Email custom field htmlvar_name)' we wszystkich wersjach do 2.8.188 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga, aby administrator dodał i skonfigurował pole niestandardowe Contact Email do renderowania na publicznej stronie pojedynczego wpisu oraz zatwierdził zgłoszenie atakującego.
Ocena ryzyka
Ryzyko obejmuje możliwość wstrzyknięcia złośliwych skryptów na stronach wpisów, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania. Atak może dotknąć odwiedzających strony z wpisami, które zawierają zainfekowane pole email.
Rekomendacja
Zaleca się aktualizację wtyczki GeoDirectory do najnowszej wersji z poprawką. Należy również dokładnie weryfikować i zatwierdzać zgłoszenia użytkowników oraz rozważyć ograniczenie uprawnień subskrybentów.
Inne podatności w GeoDirectory
Zobacz wszystkie- CVE-2026-66604Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce GeoDirectory w wersjach do 2.8.173 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-84813Krytyczne
Podatność SQL Injection w wtyczce GeoDirectory w wersjach do 2.8.174, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.
- CVE-2026-39512Krytyczne
Wersje GeoDirectory do 2.8.152 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-116752Średnie
Wtyczka GeoDirectory dla WordPressa (do wersji 2.8.197) jest podatna na przechowywany cross-site scripting poprzez parametr 'post_images' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy administrator lub edytor otworzy ekran edycji oczekującej oferty. Ładunek nie wykonuje się bezpośrednio u atakującego, ale w przeglądarce ofiary, co umożliwia eskalację uprawnień.
- CVE-2026-113494Niskie
Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.195 nie sprawdza statusu ani własności podczas renderowania ogłoszenia wskazanego atrybutem id w shortcode'ach pól. Umożliwia to użytkownikom z rolą Contributor lub wyższą ujawnienie treści i pól niestandardowych szkiców, ogłoszeń oczekujących, prywatnych i usuniętych innych użytkowników.
- CVE-2026-113488Średnie
Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.196 nieprawidłowo escapuje atrybut shortcode'u odznaki postu w kontekście JavaScript przed umieszczeniem go w inline'owym handlerze zdarzeń. Umożliwia to użytkownikom z rolą Contributor lub wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu, kto kliknie odznakę, w tym administratorom.
- CVE-2026-113487Średnie
Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.196 nie sanityzuje ani nie escapuje wartości linku przekierowującego odznaki postu przed wyświetleniem jej w elemencie anchor na ogłoszeniu. Umożliwia to użytkownikom z rolą Contributor lub wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach przeglądającym ogłoszenie, w tym administratorowi moderującemu treści.
- CVE-2026-113674Niskie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nieprawidłowo weryfikuje własność ogłoszeń przesłanych przez wylogowanych użytkowników przed zezwoleniem na ich edycję. Umożliwia to nieuwierzytelnionym atakującym modyfikację, odpublicznienie, dołączanie obrazów lub ponowne przypisanie dowolnego ogłoszenia przesłanego przez gościa, gdy włączone jest publikowanie gości.
- CVE-2026-113673Wysokie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nieprawidłowo escapuje tekst zdefiniowany przez administratora przed zapisaniem go do wygenerowanego pliku PHP w swoim folderze. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administrator podstrony w sieci multisite, którzy normalnie nie mogą uruchamiać kodu, osiągnięcie zdalnego wykonania kodu, które może wyzwolić każdy nieuwierzytelniony odwiedzający.
- CVE-2026-113493Średnie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nie oczyszcza i nie escapuje niektórych atrybutów shortcode'u mapy przed wyświetleniem ich w atrybucie style. Umożliwia to użytkownikom z rolą współtwórcy i wyższą przeprowadzanie ataków Stored Cross-Site Scripting, które wykonują się w kontekście każdego użytkownika przeglądającego dotkniętą treść.
Oryginalny opis (angielski, źródło NVD)
The GeoDirectory – WP Business Directory Plugin and Classified Listings Directory plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'email (Contact Email custom field htmlvar_name)' parameter in all versions up to, and including, 2.8.188 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Successful exploitation requires that an administrator has added and configured the Contact Email custom field to render on the public single-listing output page, and that the administrator subsequently approves the attacker's submitted listing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS