CVE-2026-113488

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce GeoDirectory w wersjach do 2.8.173 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Podatność SQL Injection w wtyczce GeoDirectory w wersjach do 2.8.174, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.

Wersje GeoDirectory do 2.8.152 zawierają podatność na nieautoryzowaną injekcję SQL.

Wtyczka GeoDirectory dla WordPressa (do wersji 2.8.197) jest podatna na przechowywany cross-site scripting poprzez parametr 'post_images' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy administrator lub edytor otworzy ekran edycji oczekującej oferty. Ładunek nie wykonuje się bezpośrednio u atakującego, ale w przeglądarce ofiary, co umożliwia eskalację uprawnień.

Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.195 nie sprawdza statusu ani własności podczas renderowania ogłoszenia wskazanego atrybutem id w shortcode'ach pól. Umożliwia to użytkownikom z rolą Contributor lub wyższą ujawnienie treści i pól niestandardowych szkiców, ogłoszeń oczekujących, prywatnych i usuniętych innych użytkowników.

Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.196 nie sanityzuje ani nie escapuje wartości linku przekierowującego odznaki postu przed wyświetleniem jej w elemencie anchor na ogłoszeniu. Umożliwia to użytkownikom z rolą Contributor lub wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach przeglądającym ogłoszenie, w tym administratorowi moderującemu treści.

Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nieprawidłowo weryfikuje własność ogłoszeń przesłanych przez wylogowanych użytkowników przed zezwoleniem na ich edycję. Umożliwia to nieuwierzytelnionym atakującym modyfikację, odpublicznienie, dołączanie obrazów lub ponowne przypisanie dowolnego ogłoszenia przesłanego przez gościa, gdy włączone jest publikowanie gości.

Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nieprawidłowo escapuje tekst zdefiniowany przez administratora przed zapisaniem go do wygenerowanego pliku PHP w swoim folderze. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administrator podstrony w sieci multisite, którzy normalnie nie mogą uruchamiać kodu, osiągnięcie zdalnego wykonania kodu, które może wyzwolić każdy nieuwierzytelniony odwiedzający.

Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nie oczyszcza i nie escapuje niektórych atrybutów shortcode'u mapy przed wyświetleniem ich w atrybucie style. Umożliwia to użytkownikom z rolą współtwórcy i wyższą przeprowadzanie ataków Stored Cross-Site Scripting, które wykonują się w kontekście każdego użytkownika przeglądającego dotkniętą treść.

Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nie sprawdza statusu, własności ani hasła podczas ładowania ogłoszeń w jednym z nieuwierzytelnionych handlerów AJAX. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie treści niepublicznych ogłoszeń (szkiców, oczekujących i prywatnych) poprzez podanie ich identyfikatorów.