CVE-2026-16968
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.168 nie ogranicza handlera wyszukiwania użytkowników do użytkowników uprawnionych do listowania użytkowników, co pozwala każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie Współautora lub wyższym na pobranie adresów e-mail wszystkich zarejestrowanych użytkowników, w tym administratorów.
Ocena ryzyka
Ujawnienie adresów e-mail wszystkich użytkowników może prowadzić do kampanii phishingowych, naruszenia prywatności i potencjalnych ataków socjotechnicznych na administratorów.
Rekomendacja
Zaktualizuj wtyczkę do wersji 2.8.168 lub nowszej. Ogranicz dostęp do funkcji wyszukiwania użytkowników tylko do uprawnionych ról.
Inne podatności w GeoDirectory
Zobacz wszystkie- CVE-2026-66604Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce GeoDirectory w wersjach do 2.8.173 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-39512Krytyczne
Wersje GeoDirectory do 2.8.152 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-81271Wysokie
Nieuwierzytelnione podatności CSRF w wtyczce GeoDirectory w wersjach do 2.8.176. Atakujący może wykorzystać CSRF do wykonania niepożądanych działań w kontekście zalogowanego administratora.
- CVE-2026-68565Średnie
Podatność na atak XSS (Cross Site Scripting) w wtyczce GeoDirectory w wersjach do 2.8.172. Atak wymaga uprawnień kontrybutora.
- CVE-2026-19091Wysokie
Wtyczka GeoDirectory – WP Business Directory Plugin i Classified Listings Directory dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji delete_revision we wszystkich wersjach do 2.8.169 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Poprzez umieszczenie post_type=attachment wyłącznie w ciągu zapytania, atakujący może przekonwertować auto-szkic wpisu GeoDirectory na załącznik WordPressa z kontrolowanymi przez atakującego ścieżkami plików w metadanych załącznika, które następnie delete_revision usuwa bez walidacji typu wpisu lub ścieżki.
- CVE-2026-57681Średnie
Wtyczka GeoDirectory w wersji 2.8.161 i starszych zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) z poziomu subskrybenta. Umożliwia to atakującemu z uprawnieniami subskrybenta wysyłanie żądań HTTP do wewnętrznych zasobów serwera.
- CVE-2026-42671Średnie
Wtyczka GeoDirectory dla WordPressa zawiera brak autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 2.8.157.
Oryginalny opis (angielski, źródło NVD)
The GeoDirectory WordPress plugin before 2.8.168 does not restrict a user-search handler to users allowed to list users, allowing any authenticated user with Contributor-level access or higher to retrieve the email addresses of all registered users, including administrators.