CVE-2026-114270
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress GeoDirectory przed wersją 2.8.197 nie respektuje ochrony hasłem wpisu podczas renderowania ogłoszenia. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie treści i pól niestandardowych opublikowanych ogłoszeń chronionych hasłem.
Ocena ryzyka
Atakujący może uzyskać dostęp do treści ogłoszeń, które powinny być chronione hasłem, co może prowadzić do wycieku informacji. Ryzyko dotyczy witryn wykorzystujących ochronę hasłem do ograniczania dostępu do ogłoszeń.
Rekomendacja
Zaktualizuj wtyczkę GeoDirectory do wersji 2.8.197 lub nowszej. Do czasu aktualizacji rozważ usunięcie ochrony hasłem lub ograniczenie dostępu do chronionych ogłoszeń.
Inne podatności w GeoDirectory WordPress plugin
Zobacz wszystkie- CVE-2026-119113Średnie
Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.199) jest podatna na przechowywane XSS poprzez opis ogłoszenia (post_content). Niedostateczna sanityzacja danych przy zapisie w połączeniu z biblioteką AyeCode UI, która wstawia atrybut data-bs-content jako HTML do popovera, pozwala uwierzytelnionym użytkownikom z poziomem Subscriber i wyższym wstrzykiwać dowolne skrypty.
- CVE-2026-118635Średnie
Wtyczka GeoDirectory dla WordPressa (wszystkie wersje do 2.8.198) jest podatna na wykonanie dowolnych shortcode'ów. Oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów.
- CVE-2026-113489Średnie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nie weryfikuje, czy odwoływany załącznik należy do zapisywanej oferty. Umożliwia to użytkownikom z rolą Subscriber i wyższą modyfikację tytułu, podpisu, statusu moderacji i flagi wyróżnienia obrazów należących do ofert innych użytkowników oraz przypisanie sobie cudzego obrazu jako własnego wyróżnionego.
- CVE-2026-93897Średnie
Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.181 włącznie) jest podatna na trwały Cross-Site Scripting poprzez pole niestandardowe typu tekstowego (np. 'phone'). Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć złośliwe skrypty, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.
- CVE-2026-16988Wysokie
Wtyczka GeoDirectory WordPress przed wersją 2.8.169 nie przeprowadza żadnej kontroli autoryzacji przy zwracaniu danych znaczników mapy dla pojedynczej żądanej wizytówki, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie tytułu i dokładnych współrzędnych geograficznych niepublicznych (oczekujących lub szkicowych) wizytówek.
- CVE-2025-15677Niskie
Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.110 nie sanitizuje i nie escapuje ustawienia kategorii miejsca przed wyświetleniem go na stronie administracyjnej, co pozwala użytkownikom z wysokimi uprawnieniami (redaktorzy i wyżej) na przeprowadzenie ataków Stored XSS, nawet gdy możliwość unfiltered_html jest zabroniona (np. w multisite).
Oryginalny opis (angielski, źródło NVD)
The GeoDirectory WordPress plugin before 2.8.197 does not honour post password protection when rendering a listing, allowing unauthenticated users to disclose the content and custom fields of published listings that are protected by a post password.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS