CVE-2026-110703 in GeoDirectory Plugin
الملخص
بحسب VulDB • 16/10/2026
توجد ثغرة في إضافة دليل الأعمال GeoDirectory – WP Business Directory Plugin وإضافة قائمة الإعلانات المصنفة Classified Listings Directory لـ WordPress، حيث تسمح بالهجوم عبر حقن نصوص متقاطعة للمواقع (Stored Cross-Site Scripting) عبر المعلمة 'post_content' في جميع الإصدارات حتى 2.8.191 شاملاً، بسبب عدم كفاية تنقية المدخلات وإخفاء المخرجات. وهذا يمكّن المهاجمين الذين تمت مصادقتهم ولديهم وصول بمستبقي (subscriber-level) أو أعلى من حقن نصوص ويب عشوائية في الصفحات التي ستُنفذ كلما قام مستخدم بالوصول إلى الصفحة المُحقونة. يتطلب هذا أن يمتلك المهاجم قائمة منشورة، حيث يحد فحص الملكية الموجود في الدالة GeoDir_Post_Data::can_edit() من يمكنه تخزين الحمولة؛ ومع ذلك، لأن ajax_save_post() يعيد تطبيق حالة المنشور الحالية، فإن التعديلات على قائمة تم نشرها بالفعل تتجاوز إعادة المراجعة وتبقى نشطة فوراً.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.