CVE-2026-119113
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.199) jest podatna na przechowywane XSS poprzez opis ogłoszenia (post_content). Niedostateczna sanityzacja danych przy zapisie w połączeniu z biblioteką AyeCode UI, która wstawia atrybut data-bs-content jako HTML do popovera, pozwala uwierzytelnionym użytkownikom z poziomem Subscriber i wyższym wstrzykiwać dowolne skrypty.
Ocena ryzyka
Atakujący z kontem Subscriber może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce każdego użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę GeoDirectory do wersji nowszej niż 2.8.199 lub zastosuj dostępne poprawki bezpieczeństwa. Rozważ ograniczenie możliwości edycji opisów ogłoszeń dla użytkowników o niskich uprawnieniach.
Inne podatności w GeoDirectory WordPress Plugin
Zobacz wszystkie- CVE-2026-118635Średnie
Wtyczka GeoDirectory dla WordPressa (wszystkie wersje do 2.8.198) jest podatna na wykonanie dowolnych shortcode'ów. Oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów.
- CVE-2026-114270Średnie
Wtyczka WordPress GeoDirectory przed wersją 2.8.197 nie respektuje ochrony hasłem wpisu podczas renderowania ogłoszenia. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie treści i pól niestandardowych opublikowanych ogłoszeń chronionych hasłem.
- CVE-2026-113489Średnie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nie weryfikuje, czy odwoływany załącznik należy do zapisywanej oferty. Umożliwia to użytkownikom z rolą Subscriber i wyższą modyfikację tytułu, podpisu, statusu moderacji i flagi wyróżnienia obrazów należących do ofert innych użytkowników oraz przypisanie sobie cudzego obrazu jako własnego wyróżnionego.
- CVE-2026-93897Średnie
Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.181 włącznie) jest podatna na trwały Cross-Site Scripting poprzez pole niestandardowe typu tekstowego (np. 'phone'). Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć złośliwe skrypty, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.
- CVE-2026-16988Wysokie
Wtyczka GeoDirectory WordPress przed wersją 2.8.169 nie przeprowadza żadnej kontroli autoryzacji przy zwracaniu danych znaczników mapy dla pojedynczej żądanej wizytówki, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie tytułu i dokładnych współrzędnych geograficznych niepublicznych (oczekujących lub szkicowych) wizytówek.
- CVE-2025-15677Niskie
Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.110 nie sanitizuje i nie escapuje ustawienia kategorii miejsca przed wyświetleniem go na stronie administracyjnej, co pozwala użytkownikom z wysokimi uprawnieniami (redaktorzy i wyżej) na przeprowadzenie ataków Stored XSS, nawet gdy możliwość unfiltered_html jest zabroniona (np. w multisite).
Oryginalny opis (angielski, źródło NVD)
The GeoDirectory – WP Business Directory Plugin and Classified Listings Directory plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the listing description (post_content) in versions up to, and including, 2.8.199 This is due to insufficient input sanitization on save (the bundled geodir_kses_safe_embed_attributes() helper only neutralises data-embed-url, data-src and data-embed, while WordPress core wp_kses_post permits data-* attributes on standard HTML tags) combined with the AyeCode UI library initializing every [data-bs-toggle="popover-html"] element with { html: true, sanitize: false }, which inserts the attacker-controlled data-bs-content value into the popover body as HTML at render time. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS