CVE-2026-107650

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce GeoDirectory w wersjach do 2.8.173 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Podatność SQL Injection w wtyczce GeoDirectory w wersjach do 2.8.174, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.

Wersje GeoDirectory do 2.8.152 zawierają podatność na nieautoryzowaną injekcję SQL.

Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.191 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'post_content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wymaga to posiadania opublikowanego wpisu, ale edycje już opublikowanego wpisu omijają ponowną moderację i pozostają aktywne natychmiast.

Wtyczka GeoDirectory – WP Business Directory Plugin and Classified Listings Directory dla WordPress jest podatna na Stored Cross-Site Scripting przez parametr 'post_images (file_info[2] = title)' we wszystkich wersjach do 2.8.190 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka GeoDirectory dla WordPressa do wersji 2.8.187 włącznie jest podatna na Local File Inclusion (LFI) przez parametr 'design_type'. Nieuwierzytelnieni atakujący mogą dołączać i wykonywać dowolne pliki .php na serwerze, co może prowadzić do obejścia kontroli dostępu, uzyskania wrażliwych danych lub wykonania kodu.

Wtyczka GeoDirectory – WP Business Directory Plugin and Classified Listings Directory dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'email (Contact Email custom field htmlvar_name)' we wszystkich wersjach do 2.8.188 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga, aby administrator dodał i skonfigurował pole niestandardowe Contact Email do renderowania na publicznej stronie pojedynczego wpisu oraz zatwierdził zgłoszenie atakującego.

Wtyczka GeoDirectory dla WordPressa jest podatna na wstrzykiwanie SQL przez przechowywane współrzędne geograficzne (latitude/longitude) wpisu w wersjach do 2.8.186 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dodawać zapytania SQL do istniejących zapytań, aby wyciągnąć wrażliwe informacje z bazy danych. Atak jest możliwy przez publiczny handler wp_ajax_nopriv_geodir_widget_listings z parametrami set_post i sort_by.

Wtyczka GeoDirectory dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'business_hours' w wersjach do 2.8.183 włącznie z powodu niewystarczającej sanityzacji i escapowania. Handler AJAX sprawdza tylko autorstwo wpisu i nonce, bez dodatkowej weryfikacji uprawnień.

Nieuwierzytelnione podatności CSRF w wtyczce GeoDirectory w wersjach do 2.8.176. Atakujący może wykorzystać CSRF do wykonania niepożądanych działań w kontekście zalogowanego administratora.