CVE-2026-84066

Wtyczka Directorist dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji do 8.8.2 włącznie.

Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole 'phone' w ogłoszeniu we wszystkich wersjach do 8.10.2.1 włącznie, z powodu niewystarczającej sanityzacji i escapowania danych. Uwierzytelniony atakujący z uprawnieniami co najmniej subskrybenta może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę. Jest to możliwe, ponieważ wtyczka przyznaje roli subskrybenta uprawnienia edit_at_biz_dirs i publish_at_biz_dirs, pozwalając każdemu subskrybentowi na publikowanie ogłoszeń bez moderacji.

Wtyczka Directorist dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 8.10.2.1 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą usuwać dowolne wpisy katalogu biznesowego, w tym należące do innych użytkowników.

Wtyczka Directorist dla WordPressa przed wersją 8.9.5 nie sprawdza uprawnień użytkownika podczas tworzenia zamówień przez REST API, co pozwala użytkownikom z rolą subskrybenta i wyższą na tworzenie płatnych zamówień i rekordów płatności z dowolnymi kwotami oraz przypisywanie ich innym użytkownikom.

Wtyczka Directorist dla WordPressa przed wersją 8.9.5 nie ogranicza dostępu do punktu końcowego REST, który zwraca rekordy użytkowników, co pozwala nieuwierzytelnionym atakującym na odczyt prywatnych danych kontaktowych zarejestrowanych użytkowników.

Wtyczka Directorist dla WordPressa przed wersją 8.9.5 nie ogranicza jednego z punktów końcowych REST do bieżącego użytkownika, co pozwala użytkownikom z rolą subskrybenta na odczyt rekordów zamówień i płatności każdego klienta. Wersje 8.8.1 do 8.9 nie są dotknięte; punkt końcowy był poprawnie ograniczony w 8.8.1, a nieograniczone zachowanie zostało ponownie wprowadzone w 8.9.1.

Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa przed wersją 8.9.3 nie sanityzuje referencji do obrazu dostarczonej przez użytkownika przed użyciem jej jako źródła przeniesienia pliku, co pozwala użytkownikom z poziomem subskrybenta na przenoszenie dowolnych plików obrazów czytelnych dla serwera do publicznie dostępnego katalogu oraz usuwanie ich z pierwotnej lokalizacji.

Wtyczka Directorist dla WordPressa zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka ta dotyczy wersji do 8.5.10 włącznie.