CVE-2026-96766
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka GeoDirectory dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'business_hours' w wersjach do 2.8.183 włącznie z powodu niewystarczającej sanityzacji i escapowania. Handler AJAX sprawdza tylko autorstwo wpisu i nonce, bez dodatkowej weryfikacji uprawnień.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami subskrybenta, będący właścicielem wpisu, może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce każdego użytkownika odwiedzającego zainfekowaną stronę.
Rekomendacja
Zaktualizuj wtyczkę GeoDirectory do wersji nowszej niż 2.8.183, która naprawia podatność Stored XSS w parametrze 'business_hours'.
Inne podatności w GeoDirectory
Zobacz wszystkie- CVE-2026-66604Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce GeoDirectory w wersjach do 2.8.173 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-84813Krytyczne
Podatność SQL Injection w wtyczce GeoDirectory w wersjach do 2.8.174, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.
- CVE-2026-39512Krytyczne
Wersje GeoDirectory do 2.8.152 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-81271Wysokie
Nieuwierzytelnione podatności CSRF w wtyczce GeoDirectory w wersjach do 2.8.176. Atakujący może wykorzystać CSRF do wykonania niepożądanych działań w kontekście zalogowanego administratora.
- CVE-2026-68565Średnie
Podatność na atak XSS (Cross Site Scripting) w wtyczce GeoDirectory w wersjach do 2.8.172. Atak wymaga uprawnień kontrybutora.
- CVE-2026-19091Wysokie
Wtyczka GeoDirectory – WP Business Directory Plugin i Classified Listings Directory dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji delete_revision we wszystkich wersjach do 2.8.169 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Poprzez umieszczenie post_type=attachment wyłącznie w ciągu zapytania, atakujący może przekonwertować auto-szkic wpisu GeoDirectory na załącznik WordPressa z kontrolowanymi przez atakującego ścieżkami plików w metadanych załącznika, które następnie delete_revision usuwa bez walidacji typu wpisu lub ścieżki.
- CVE-2026-16968Średnie
Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.168 nie ogranicza handlera wyszukiwania użytkowników do użytkowników uprawnionych do listowania użytkowników, co pozwala każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie Współautora lub wyższym na pobranie adresów e-mail wszystkich zarejestrowanych użytkowników, w tym administratorów.
- CVE-2026-57681Średnie
Wtyczka GeoDirectory w wersji 2.8.161 i starszych zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) z poziomu subskrybenta. Umożliwia to atakującemu z uprawnieniami subskrybenta wysyłanie żądań HTTP do wewnętrznych zasobów serwera.
- CVE-2026-42671Średnie
Wtyczka GeoDirectory dla WordPressa zawiera brak autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 2.8.157.
Oryginalny opis (angielski, źródło NVD)
The GeoDirectory – WP Business Directory Plugin and Classified Listings Directory plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'business_hours' parameter in all versions up to, and including, 2.8.183 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is possible because the AJAX save handler validates only post authorship and a nonce with no additional capability check, allowing any subscriber-level user who owns a listing to exploit this vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS