CVE-2026-84813
KrytyczneCVSS 9.3Streszczenie
Podatność SQL Injection w wtyczce GeoDirectory w wersjach do 2.8.174, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.
Ocena ryzyka
Nieuwierzytelniony atakujący może odczytać, zmodyfikować lub usunąć dane z bazy danych, co może prowadzić do wycieku danych i naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki GeoDirectory do najnowszej wersji, która zawiera poprawkę.
Inne podatności w GeoDirectory
Zobacz wszystkie- CVE-2026-66604Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce GeoDirectory w wersjach do 2.8.173 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-39512Krytyczne
Wersje GeoDirectory do 2.8.152 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-81271Wysokie
Nieuwierzytelnione podatności CSRF w wtyczce GeoDirectory w wersjach do 2.8.176. Atakujący może wykorzystać CSRF do wykonania niepożądanych działań w kontekście zalogowanego administratora.
- CVE-2026-68565Średnie
Podatność na atak XSS (Cross Site Scripting) w wtyczce GeoDirectory w wersjach do 2.8.172. Atak wymaga uprawnień kontrybutora.
- CVE-2026-19091Wysokie
Wtyczka GeoDirectory – WP Business Directory Plugin i Classified Listings Directory dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji delete_revision we wszystkich wersjach do 2.8.169 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Poprzez umieszczenie post_type=attachment wyłącznie w ciągu zapytania, atakujący może przekonwertować auto-szkic wpisu GeoDirectory na załącznik WordPressa z kontrolowanymi przez atakującego ścieżkami plików w metadanych załącznika, które następnie delete_revision usuwa bez walidacji typu wpisu lub ścieżki.
- CVE-2026-16968Średnie
Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.168 nie ogranicza handlera wyszukiwania użytkowników do użytkowników uprawnionych do listowania użytkowników, co pozwala każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie Współautora lub wyższym na pobranie adresów e-mail wszystkich zarejestrowanych użytkowników, w tym administratorów.
- CVE-2026-57681Średnie
Wtyczka GeoDirectory w wersji 2.8.161 i starszych zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) z poziomu subskrybenta. Umożliwia to atakującemu z uprawnieniami subskrybenta wysyłanie żądań HTTP do wewnętrznych zasobów serwera.
- CVE-2026-42671Średnie
Wtyczka GeoDirectory dla WordPressa zawiera brak autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 2.8.157.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated SQL Injection in GeoDirectory <= 2.8.174 versions.