Podatności GeoDirectory
8 znanych podatności CVE w GeoDirectory, przetłumaczonych i ocenionych.
- CVE-2026-66604Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce GeoDirectory w wersjach do 2.8.173 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-39512Krytyczne
Wersje GeoDirectory do 2.8.152 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-81271Wysokie
Nieuwierzytelnione podatności CSRF w wtyczce GeoDirectory w wersjach do 2.8.176. Atakujący może wykorzystać CSRF do wykonania niepożądanych działań w kontekście zalogowanego administratora.
- CVE-2026-68565Średnie
Podatność na atak XSS (Cross Site Scripting) w wtyczce GeoDirectory w wersjach do 2.8.172. Atak wymaga uprawnień kontrybutora.
- CVE-2026-19091Wysokie
Wtyczka GeoDirectory – WP Business Directory Plugin i Classified Listings Directory dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji delete_revision we wszystkich wersjach do 2.8.169 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Poprzez umieszczenie post_type=attachment wyłącznie w ciągu zapytania, atakujący może przekonwertować auto-szkic wpisu GeoDirectory na załącznik WordPressa z kontrolowanymi przez atakującego ścieżkami plików w metadanych załącznika, które następnie delete_revision usuwa bez walidacji typu wpisu lub ścieżki.
- CVE-2026-16968Średnie
Wtyczka GeoDirectory dla WordPressa przed wersją 2.8.168 nie ogranicza handlera wyszukiwania użytkowników do użytkowników uprawnionych do listowania użytkowników, co pozwala każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie Współautora lub wyższym na pobranie adresów e-mail wszystkich zarejestrowanych użytkowników, w tym administratorów.
- CVE-2026-57681Średnie
Wtyczka GeoDirectory w wersji 2.8.161 i starszych zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) z poziomu subskrybenta. Umożliwia to atakującemu z uprawnieniami subskrybenta wysyłanie żądań HTTP do wewnętrznych zasobów serwera.
- CVE-2026-42671Średnie
Wtyczka GeoDirectory dla WordPressa zawiera brak autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 2.8.157.