Podatności GeoDirectory WordPress plugin

Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.199) jest podatna na przechowywane XSS poprzez opis ogłoszenia (post_content). Niedostateczna sanityzacja danych przy zapisie w połączeniu z biblioteką AyeCode UI, która wstawia atrybut data-bs-content jako HTML do popovera, pozwala uwierzytelnionym użytkownikom z poziomem Subscriber i wyższym wstrzykiwać dowolne skrypty.

Wtyczka GeoDirectory dla WordPressa (wszystkie wersje do 2.8.198) jest podatna na wykonanie dowolnych shortcode'ów. Oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów.

Wtyczka WordPress GeoDirectory przed wersją 2.8.197 nie respektuje ochrony hasłem wpisu podczas renderowania ogłoszenia. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie treści i pól niestandardowych opublikowanych ogłoszeń chronionych hasłem.

Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nie weryfikuje, czy odwoływany załącznik należy do zapisywanej oferty. Umożliwia to użytkownikom z rolą Subscriber i wyższą modyfikację tytułu, podpisu, statusu moderacji i flagi wyróżnienia obrazów należących do ofert innych użytkowników oraz przypisanie sobie cudzego obrazu jako własnego wyróżnionego.

Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.181 włącznie) jest podatna na trwały Cross-Site Scripting poprzez pole niestandardowe typu tekstowego (np. 'phone'). Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć złośliwe skrypty, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka GeoDirectory WordPress przed wersją 2.8.169 nie przeprowadza żadnej kontroli autoryzacji przy zwracaniu danych znaczników mapy dla pojedynczej żądanej wizytówki, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie tytułu i dokładnych współrzędnych geograficznych niepublicznych (oczekujących lub szkicowych) wizytówek.

Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.110 nie sanitizuje i nie escapuje ustawienia kategorii miejsca przed wyświetleniem go na stronie administracyjnej, co pozwala użytkownikom z wysokimi uprawnieniami (redaktorzy i wyżej) na przeprowadzenie ataków Stored XSS, nawet gdy możliwość unfiltered_html jest zabroniona (np. w multisite).