CVE-2026-110703
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.191 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'post_content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wymaga to posiadania opublikowanego wpisu, ale edycje już opublikowanego wpisu omijają ponowną moderację i pozostają aktywne natychmiast.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści strony. Ryzyko dotyczy witryn z wtyczką GeoDirectory, w których użytkownicy mogą tworzyć i edytować wpisy.
Rekomendacja
Zaktualizuj wtyczkę GeoDirectory do wersji nowszej niż 2.8.191, gdy tylko będzie dostępna. Do czasu aktualizacji rozważ ograniczenie możliwości edycji wpisów przez użytkowników o niskich uprawnieniach.
Inne podatności w GeoDirectory
Zobacz wszystkie- CVE-2026-66604Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce GeoDirectory w wersjach do 2.8.173 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-84813Krytyczne
Podatność SQL Injection w wtyczce GeoDirectory w wersjach do 2.8.174, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.
- CVE-2026-39512Krytyczne
Wersje GeoDirectory do 2.8.152 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-116752Średnie
Wtyczka GeoDirectory dla WordPressa (do wersji 2.8.197) jest podatna na przechowywany cross-site scripting poprzez parametr 'post_images' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy administrator lub edytor otworzy ekran edycji oczekującej oferty. Ładunek nie wykonuje się bezpośrednio u atakującego, ale w przeglądarce ofiary, co umożliwia eskalację uprawnień.
- CVE-2026-113494Niskie
Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.195 nie sprawdza statusu ani własności podczas renderowania ogłoszenia wskazanego atrybutem id w shortcode'ach pól. Umożliwia to użytkownikom z rolą Contributor lub wyższą ujawnienie treści i pól niestandardowych szkiców, ogłoszeń oczekujących, prywatnych i usuniętych innych użytkowników.
- CVE-2026-113488Średnie
Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.196 nieprawidłowo escapuje atrybut shortcode'u odznaki postu w kontekście JavaScript przed umieszczeniem go w inline'owym handlerze zdarzeń. Umożliwia to użytkownikom z rolą Contributor lub wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu, kto kliknie odznakę, w tym administratorom.
- CVE-2026-113487Średnie
Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.196 nie sanityzuje ani nie escapuje wartości linku przekierowującego odznaki postu przed wyświetleniem jej w elemencie anchor na ogłoszeniu. Umożliwia to użytkownikom z rolą Contributor lub wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach przeglądającym ogłoszenie, w tym administratorowi moderującemu treści.
- CVE-2026-113674Niskie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nieprawidłowo weryfikuje własność ogłoszeń przesłanych przez wylogowanych użytkowników przed zezwoleniem na ich edycję. Umożliwia to nieuwierzytelnionym atakującym modyfikację, odpublicznienie, dołączanie obrazów lub ponowne przypisanie dowolnego ogłoszenia przesłanego przez gościa, gdy włączone jest publikowanie gości.
- CVE-2026-113673Wysokie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nieprawidłowo escapuje tekst zdefiniowany przez administratora przed zapisaniem go do wygenerowanego pliku PHP w swoim folderze. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administrator podstrony w sieci multisite, którzy normalnie nie mogą uruchamiać kodu, osiągnięcie zdalnego wykonania kodu, które może wyzwolić każdy nieuwierzytelniony odwiedzający.
- CVE-2026-113493Średnie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nie oczyszcza i nie escapuje niektórych atrybutów shortcode'u mapy przed wyświetleniem ich w atrybucie style. Umożliwia to użytkownikom z rolą współtwórcy i wyższą przeprowadzanie ataków Stored Cross-Site Scripting, które wykonują się w kontekście każdego użytkownika przeglądającego dotkniętą treść.
Oryginalny opis (angielski, źródło NVD)
The GeoDirectory – WP Business Directory Plugin and Classified Listings Directory plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'post_content' parameter in all versions up to, and including, 2.8.191 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires the attacker to own a published listing, as the ownership check in GeoDir_Post_Data::can_edit() limits who can store the payload; however, because ajax_save_post() re-applies the existing post_status, edits to an already-published listing bypass re-moderation and remain live immediately.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS