CVE-2026-104899
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Wtyczka GeoDirectory dla WordPressa do wersji 2.8.187 włącznie jest podatna na Local File Inclusion (LFI) przez parametr 'design_type'. Nieuwierzytelnieni atakujący mogą dołączać i wykonywać dowolne pliki .php na serwerze, co może prowadzić do obejścia kontroli dostępu, uzyskania wrażliwych danych lub wykonania kodu.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu PHP na serwerze, co może prowadzić do całkowitego przejęcia kontroli nad witryną, kradzieży danych lub dalszych ataków na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji. Należy również ograniczyć możliwość przesyłania plików .php i wdrożyć odpowiednie walidacje ścieżek plików.
Inne podatności w GeoDirectory
Zobacz wszystkie- CVE-2026-66604Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce GeoDirectory w wersjach do 2.8.173 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-84813Krytyczne
Podatność SQL Injection w wtyczce GeoDirectory w wersjach do 2.8.174, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.
- CVE-2026-39512Krytyczne
Wersje GeoDirectory do 2.8.152 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-104993Średnie
Wtyczka GeoDirectory – WP Business Directory Plugin and Classified Listings Directory dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'email (Contact Email custom field htmlvar_name)' we wszystkich wersjach do 2.8.188 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga, aby administrator dodał i skonfigurował pole niestandardowe Contact Email do renderowania na publicznej stronie pojedynczego wpisu oraz zatwierdził zgłoszenie atakującego.
- CVE-2026-103913Wysokie
Wtyczka GeoDirectory dla WordPressa jest podatna na wstrzykiwanie SQL przez przechowywane współrzędne geograficzne (latitude/longitude) wpisu w wersjach do 2.8.186 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dodawać zapytania SQL do istniejących zapytań, aby wyciągnąć wrażliwe informacje z bazy danych. Atak jest możliwy przez publiczny handler wp_ajax_nopriv_geodir_widget_listings z parametrami set_post i sort_by.
- CVE-2026-96766Średnie
Wtyczka GeoDirectory dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'business_hours' w wersjach do 2.8.183 włącznie z powodu niewystarczającej sanityzacji i escapowania. Handler AJAX sprawdza tylko autorstwo wpisu i nonce, bez dodatkowej weryfikacji uprawnień.
- CVE-2026-81271Wysokie
Nieuwierzytelnione podatności CSRF w wtyczce GeoDirectory w wersjach do 2.8.176. Atakujący może wykorzystać CSRF do wykonania niepożądanych działań w kontekście zalogowanego administratora.
- CVE-2026-68565Średnie
Podatność na atak XSS (Cross Site Scripting) w wtyczce GeoDirectory w wersjach do 2.8.172. Atak wymaga uprawnień kontrybutora.
- CVE-2026-19091Wysokie
Wtyczka GeoDirectory – WP Business Directory Plugin i Classified Listings Directory dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji delete_revision we wszystkich wersjach do 2.8.169 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Poprzez umieszczenie post_type=attachment wyłącznie w ciągu zapytania, atakujący może przekonwertować auto-szkic wpisu GeoDirectory na załącznik WordPressa z kontrolowanymi przez atakującego ścieżkami plików w metadanych załącznika, które następnie delete_revision usuwa bez walidacji typu wpisu lub ścieżki.
- CVE-2026-16968Średnie
Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.168 nie ogranicza handlera wyszukiwania użytkowników do użytkowników uprawnionych do listowania użytkowników, co pozwala każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie Współautora lub wyższym na pobranie adresów e-mail wszystkich zarejestrowanych użytkowników, w tym administratorów.
Oryginalny opis (angielski, źródło NVD)
The GeoDirectory – WP Business Directory Plugin and Classified Listings Directory plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 2.8.187 via the 'design_type' parameter parameter. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. The required nonce is trivially obtainable by any anonymous visitor, as the geodir_basic_nonce value is localized to every public frontend page via the geodir_params script object, meaning no authentication, user interaction, or specific site content is required to exploit this vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS