CVE-2026-116752
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka GeoDirectory dla WordPressa (do wersji 2.8.197) jest podatna na przechowywany cross-site scripting poprzez parametr 'post_images' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy administrator lub edytor otworzy ekran edycji oczekującej oferty. Ładunek nie wykonuje się bezpośrednio u atakującego, ale w przeglądarce ofiary, co umożliwia eskalację uprawnień.
Ocena ryzyka
Atakujący z kontem subskrybenta może wykonać dowolny kod JavaScript w przeglądarce administratora lub edytora, co może prowadzić do przejęcia konta o wyższych uprawnieniach. Luka jest szczególnie niebezpieczna, ponieważ wykorzystuje normalny proces redakcyjny.
Rekomendacja
Zaktualizuj wtyczkę GeoDirectory do wersji nowszej niż 2.8.197. Dodatkowo rozważ ograniczenie możliwości dodawania ofert przez subskrybentów lub wdrożenie dodatkowej walidacji danych wejściowych.
Inne podatności w GeoDirectory
Zobacz wszystkie- CVE-2026-66604Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce GeoDirectory w wersjach do 2.8.173 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-84813Krytyczne
Podatność SQL Injection w wtyczce GeoDirectory w wersjach do 2.8.174, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.
- CVE-2026-39512Krytyczne
Wersje GeoDirectory do 2.8.152 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-113494Niskie
Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.195 nie sprawdza statusu ani własności podczas renderowania ogłoszenia wskazanego atrybutem id w shortcode'ach pól. Umożliwia to użytkownikom z rolą Contributor lub wyższą ujawnienie treści i pól niestandardowych szkiców, ogłoszeń oczekujących, prywatnych i usuniętych innych użytkowników.
- CVE-2026-113488Średnie
Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.196 nieprawidłowo escapuje atrybut shortcode'u odznaki postu w kontekście JavaScript przed umieszczeniem go w inline'owym handlerze zdarzeń. Umożliwia to użytkownikom z rolą Contributor lub wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu, kto kliknie odznakę, w tym administratorom.
- CVE-2026-113487Średnie
Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.196 nie sanityzuje ani nie escapuje wartości linku przekierowującego odznaki postu przed wyświetleniem jej w elemencie anchor na ogłoszeniu. Umożliwia to użytkownikom z rolą Contributor lub wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach przeglądającym ogłoszenie, w tym administratorowi moderującemu treści.
- CVE-2026-113674Niskie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nieprawidłowo weryfikuje własność ogłoszeń przesłanych przez wylogowanych użytkowników przed zezwoleniem na ich edycję. Umożliwia to nieuwierzytelnionym atakującym modyfikację, odpublicznienie, dołączanie obrazów lub ponowne przypisanie dowolnego ogłoszenia przesłanego przez gościa, gdy włączone jest publikowanie gości.
- CVE-2026-113673Wysokie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nieprawidłowo escapuje tekst zdefiniowany przez administratora przed zapisaniem go do wygenerowanego pliku PHP w swoim folderze. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administrator podstrony w sieci multisite, którzy normalnie nie mogą uruchamiać kodu, osiągnięcie zdalnego wykonania kodu, które może wyzwolić każdy nieuwierzytelniony odwiedzający.
- CVE-2026-113493Średnie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nie oczyszcza i nie escapuje niektórych atrybutów shortcode'u mapy przed wyświetleniem ich w atrybucie style. Umożliwia to użytkownikom z rolą współtwórcy i wyższą przeprowadzanie ataków Stored Cross-Site Scripting, które wykonują się w kontekście każdego użytkownika przeglądającego dotkniętą treść.
- CVE-2026-113492Średnie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nie sprawdza statusu, własności ani hasła podczas ładowania ogłoszeń w jednym z nieuwierzytelnionych handlerów AJAX. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie treści niepublicznych ogłoszeń (szkiców, oczekujących i prywatnych) poprzez podanie ich identyfikatorów.
Oryginalny opis (angielski, źródło NVD)
The GeoDirectory – WP Business Directory Plugin and Classified Listings Directory plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'post_images' parameter in all versions up to, and including, 2.8.197 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The injected payload does not fire for the attacker directly; it executes in the browser of any Administrator or Editor who opens the pending listing's edit screen, making this a privilege-escalation-capable stored XSS chain triggered through normal editorial workflow.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS