CVE-2026-19091
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Wtyczka GeoDirectory – WP Business Directory Plugin i Classified Listings Directory dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji delete_revision we wszystkich wersjach do 2.8.169 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Poprzez umieszczenie post_type=attachment wyłącznie w ciągu zapytania, atakujący może przekonwertować auto-szkic wpisu GeoDirectory na załącznik WordPressa z kontrolowanymi przez atakującego ścieżkami plików w metadanych załącznika, które następnie delete_revision usuwa bez walidacji typu wpisu lub ścieżki.
Ocena ryzyka
Uwierzytelniony atakujący może usunąć krytyczne pliki, takie jak wp-config.php, co może prowadzić do całkowitego przejęcia serwera i naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki GeoDirectory do wersji, w której naprawiono walidację ścieżek, oraz ograniczenie uprawnień użytkowników do minimum.
Inne podatności w GeoDirectory
Zobacz wszystkie- CVE-2026-66604Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce GeoDirectory w wersjach do 2.8.173 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-84813Krytyczne
Podatność SQL Injection w wtyczce GeoDirectory w wersjach do 2.8.174, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.
- CVE-2026-39512Krytyczne
Wersje GeoDirectory do 2.8.152 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-116752Średnie
Wtyczka GeoDirectory dla WordPressa (do wersji 2.8.197) jest podatna na przechowywany cross-site scripting poprzez parametr 'post_images' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy administrator lub edytor otworzy ekran edycji oczekującej oferty. Ładunek nie wykonuje się bezpośrednio u atakującego, ale w przeglądarce ofiary, co umożliwia eskalację uprawnień.
- CVE-2026-113494Niskie
Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.195 nie sprawdza statusu ani własności podczas renderowania ogłoszenia wskazanego atrybutem id w shortcode'ach pól. Umożliwia to użytkownikom z rolą Contributor lub wyższą ujawnienie treści i pól niestandardowych szkiców, ogłoszeń oczekujących, prywatnych i usuniętych innych użytkowników.
- CVE-2026-113488Średnie
Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.196 nieprawidłowo escapuje atrybut shortcode'u odznaki postu w kontekście JavaScript przed umieszczeniem go w inline'owym handlerze zdarzeń. Umożliwia to użytkownikom z rolą Contributor lub wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu, kto kliknie odznakę, w tym administratorom.
- CVE-2026-113487Średnie
Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.196 nie sanityzuje ani nie escapuje wartości linku przekierowującego odznaki postu przed wyświetleniem jej w elemencie anchor na ogłoszeniu. Umożliwia to użytkownikom z rolą Contributor lub wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach przeglądającym ogłoszenie, w tym administratorowi moderującemu treści.
- CVE-2026-113674Niskie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nieprawidłowo weryfikuje własność ogłoszeń przesłanych przez wylogowanych użytkowników przed zezwoleniem na ich edycję. Umożliwia to nieuwierzytelnionym atakującym modyfikację, odpublicznienie, dołączanie obrazów lub ponowne przypisanie dowolnego ogłoszenia przesłanego przez gościa, gdy włączone jest publikowanie gości.
- CVE-2026-113673Wysokie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nieprawidłowo escapuje tekst zdefiniowany przez administratora przed zapisaniem go do wygenerowanego pliku PHP w swoim folderze. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administrator podstrony w sieci multisite, którzy normalnie nie mogą uruchamiać kodu, osiągnięcie zdalnego wykonania kodu, które może wyzwolić każdy nieuwierzytelniony odwiedzający.
- CVE-2026-113493Średnie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nie oczyszcza i nie escapuje niektórych atrybutów shortcode'u mapy przed wyświetleniem ich w atrybucie style. Umożliwia to użytkownikom z rolą współtwórcy i wyższą przeprowadzanie ataków Stored Cross-Site Scripting, które wykonują się w kontekście każdego użytkownika przeglądającego dotkniętą treść.
Oryginalny opis (angielski, źródło NVD)
The GeoDirectory – WP Business Directory Plugin and Classified Listings Directory plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the delete_revision function in all versions up to, and including, 2.8.169. This makes it possible for authenticated attackers, with subscriber-level access and above, to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). By placing post_type=attachment exclusively in the query string to bypass the consistency check, an attacker can convert an auto-draft GeoDirectory listing into a WordPress attachment with attacker-controlled file paths injected into attachment metadata, which the delete_revision handler then dereferences and unlinks without any post-type or path validation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS