CVE-2026-84026

Wtyczka Directorist dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji do 8.8.2 włącznie.

Wtyczka Directorist dla WordPressa przed wersją 8.9.5 nie sprawdza uprawnień użytkownika podczas tworzenia zamówień przez REST API, co pozwala użytkownikom z rolą subskrybenta i wyższą na tworzenie płatnych zamówień i rekordów płatności z dowolnymi kwotami oraz przypisywanie ich innym użytkownikom.

Wtyczka Directorist dla WordPressa przed wersją 8.9.5 nie ogranicza jednego z punktów końcowych REST do bieżącego użytkownika, co pozwala użytkownikom z rolą subskrybenta na odczyt rekordów zamówień i płatności każdego klienta. Wersje 8.8.1 do 8.9 nie są dotknięte; punkt końcowy był poprawnie ograniczony w 8.8.1, a nieograniczone zachowanie zostało ponownie wprowadzone w 8.9.1.

Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa przed wersją 8.9 nie weryfikuje, czy żądający użytkownik jest właścicielem modyfikowanego wpisu przed zapisaniem odniesień do przesłanych plików w jego metadanych. Umożliwia to użytkownikom z rolą subskrybenta i wyższą nadpisywanie metadanych obrazów na wpisach należących do innych użytkowników.

Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa przed wersją 8.9.3 nie sanityzuje referencji do obrazu dostarczonej przez użytkownika przed użyciem jej jako źródła przeniesienia pliku, co pozwala użytkownikom z poziomem subskrybenta na przenoszenie dowolnych plików obrazów czytelnych dla serwera do publicznie dostępnego katalogu oraz usuwanie ich z pierwotnej lokalizacji.

Wtyczka Directorist dla WordPressa zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka ta dotyczy wersji do 8.5.10 włącznie.