CVE-2026-100185
ŚrednieCVSS 6.4Streszczenie
Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole 'phone' w ogłoszeniu we wszystkich wersjach do 8.10.2.1 włącznie, z powodu niewystarczającej sanityzacji i escapowania danych. Uwierzytelniony atakujący z uprawnieniami co najmniej subskrybenta może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę. Jest to możliwe, ponieważ wtyczka przyznaje roli subskrybenta uprawnienia edit_at_biz_dirs i publish_at_biz_dirs, pozwalając każdemu subskrybentowi na publikowanie ogłoszeń bez moderacji.
Ocena ryzyka
Atakujący z kontem subskrybenta może trwale zainfekować ogłoszenia złośliwym kodem JavaScript, co może prowadzić do kradzieży sesji, przekierowań lub przejęcia konta administratora. Ryzyko dotyczy witryn z wtyczką Directorist w wersji 8.10.2.1 lub starszej.
Rekomendacja
Zaktualizuj wtyczkę Directorist do wersji nowszej niż 8.10.2.1. Do czasu aktualizacji ogranicz możliwość rejestracji subskrybentów i rozważ wyłączenie wtyczki.
Inne podatności w Directorist
Zobacz wszystkie- CVE-2026-17092Wysokie
Wtyczka Directorist dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 8.10.2.1 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą usuwać dowolne wpisy katalogu biznesowego, w tym należące do innych użytkowników.
- CVE-2026-59518Krytyczne
Wtyczka Directorist dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji do 8.8.2 włącznie.
- CVE-2026-84027Średnie
Wtyczka Directorist dla WordPressa przed wersją 8.9.5 nie sprawdza uprawnień użytkownika podczas tworzenia zamówień przez REST API, co pozwala użytkownikom z rolą subskrybenta i wyższą na tworzenie płatnych zamówień i rekordów płatności z dowolnymi kwotami oraz przypisywanie ich innym użytkownikom.
- CVE-2026-84026Średnie
Wtyczka Directorist dla WordPressa przed wersją 8.9.5 nie ogranicza dostępu do punktu końcowego REST, który zwraca rekordy użytkowników, co pozwala nieuwierzytelnionym atakującym na odczyt prywatnych danych kontaktowych zarejestrowanych użytkowników.
- CVE-2026-77766Średnie
Wtyczka Directorist dla WordPressa przed wersją 8.9.5 nie ogranicza jednego z punktów końcowych REST do bieżącego użytkownika, co pozwala użytkownikom z rolą subskrybenta na odczyt rekordów zamówień i płatności każdego klienta. Wersje 8.8.1 do 8.9 nie są dotknięte; punkt końcowy był poprawnie ograniczony w 8.8.1, a nieograniczone zachowanie zostało ponownie wprowadzone w 8.9.1.
- CVE-2026-84066Niskie
Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa przed wersją 8.9 nie weryfikuje, czy żądający użytkownik jest właścicielem modyfikowanego wpisu przed zapisaniem odniesień do przesłanych plików w jego metadanych. Umożliwia to użytkownikom z rolą subskrybenta i wyższą nadpisywanie metadanych obrazów na wpisach należących do innych użytkowników.
- CVE-2026-77757Średnie
Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa przed wersją 8.9.3 nie sanityzuje referencji do obrazu dostarczonej przez użytkownika przed użyciem jej jako źródła przeniesienia pliku, co pozwala użytkownikom z poziomem subskrybenta na przenoszenie dowolnych plików obrazów czytelnych dla serwera do publicznie dostępnego katalogu oraz usuwanie ich z pierwotnej lokalizacji.
- CVE-2026-39509Średnie
Wtyczka Directorist dla WordPressa zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka ta dotyczy wersji do 8.5.10 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Directorist: AI-Powered Business Directory, Listings & Classified Ads plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'phone' Listing Field in all versions up to, and including, 8.10.2.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is possible because the plugin grants the edit_at_biz_dirs and publish_at_biz_dirs capabilities to the subscriber role, allowing any subscriber-level user to submit and publish listings without moderation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS