CVE-2026-16988

WysokieCVSS 7.5

Opublikowano: 09/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 09/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Wtyczka GeoDirectory WordPress przed wersją 2.8.169 nie przeprowadza żadnej kontroli autoryzacji przy zwracaniu danych znaczników mapy dla pojedynczej żądanej wizytówki, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie tytułu i dokładnych współrzędnych geograficznych niepublicznych (oczekujących lub szkicowych) wizytówek.

Ocena ryzyka

Ryzyko obejmuje ujawnienie poufnych informacji o lokalizacji niepublicznych wizytówek, co może naruszyć prywatność użytkowników i bezpieczeństwo organizacji.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki GeoDirectory do wersji 2.8.169 lub nowszej, która zawiera poprawkę zabezpieczającą.

Inne podatności w GeoDirectory WordPress plugin

CVE-2025-15677Niskie
Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.110 nie sanitizuje i nie escapuje ustawienia kategorii miejsca przed wyświetleniem go na stronie administracyjnej, co pozwala użytkownikom z wysokimi uprawnieniami (redaktorzy i wyżej) na przeprowadzenie ataków Stored XSS, nawet gdy możliwość unfiltered_html jest zabroniona (np. w multisite).

Oryginalny opis (angielski, źródło NVD)

The GeoDirectory WordPress plugin before 2.8.169 does not perform any authorization check when returning map marker data for a single requested listing, allowing unauthenticated users to disclose the title and exact geographic coordinates of non-public (pending or draft) listings.