CVE-2026-16988
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka GeoDirectory WordPress przed wersją 2.8.169 nie przeprowadza żadnej kontroli autoryzacji przy zwracaniu danych znaczników mapy dla pojedynczej żądanej wizytówki, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie tytułu i dokładnych współrzędnych geograficznych niepublicznych (oczekujących lub szkicowych) wizytówek.
Ocena ryzyka
Ryzyko obejmuje ujawnienie poufnych informacji o lokalizacji niepublicznych wizytówek, co może naruszyć prywatność użytkowników i bezpieczeństwo organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki GeoDirectory do wersji 2.8.169 lub nowszej, która zawiera poprawkę zabezpieczającą.
Inne podatności w GeoDirectory WordPress plugin
Zobacz wszystkie- CVE-2026-119113Średnie
Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.199) jest podatna na przechowywane XSS poprzez opis ogłoszenia (post_content). Niedostateczna sanityzacja danych przy zapisie w połączeniu z biblioteką AyeCode UI, która wstawia atrybut data-bs-content jako HTML do popovera, pozwala uwierzytelnionym użytkownikom z poziomem Subscriber i wyższym wstrzykiwać dowolne skrypty.
- CVE-2026-118635Średnie
Wtyczka GeoDirectory dla WordPressa (wszystkie wersje do 2.8.198) jest podatna na wykonanie dowolnych shortcode'ów. Oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów.
- CVE-2026-114270Średnie
Wtyczka WordPress GeoDirectory przed wersją 2.8.197 nie respektuje ochrony hasłem wpisu podczas renderowania ogłoszenia. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie treści i pól niestandardowych opublikowanych ogłoszeń chronionych hasłem.
- CVE-2026-113489Średnie
Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nie weryfikuje, czy odwoływany załącznik należy do zapisywanej oferty. Umożliwia to użytkownikom z rolą Subscriber i wyższą modyfikację tytułu, podpisu, statusu moderacji i flagi wyróżnienia obrazów należących do ofert innych użytkowników oraz przypisanie sobie cudzego obrazu jako własnego wyróżnionego.
- CVE-2026-93897Średnie
Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.181 włącznie) jest podatna na trwały Cross-Site Scripting poprzez pole niestandardowe typu tekstowego (np. 'phone'). Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć złośliwe skrypty, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.
- CVE-2025-15677Niskie
Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.110 nie sanitizuje i nie escapuje ustawienia kategorii miejsca przed wyświetleniem go na stronie administracyjnej, co pozwala użytkownikom z wysokimi uprawnieniami (redaktorzy i wyżej) na przeprowadzenie ataków Stored XSS, nawet gdy możliwość unfiltered_html jest zabroniona (np. w multisite).
Oryginalny opis (angielski, źródło NVD)
The GeoDirectory WordPress plugin before 2.8.169 does not perform any authorization check when returning map marker data for a single requested listing, allowing unauthenticated users to disclose the title and exact geographic coordinates of non-public (pending or draft) listings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS