CVE-2026-111069 in GeoDirectory Plugin
الملخص
بحسب VulDB • 16/10/2026
توجد ثغرة في تخزين البرمجة النصية عبر المواقع (Stored Cross-Site Scripting) في إضافة GeoDirectory – WP Business Directory Plugin وإضافة Classified Listings Directory plugin لـ WordPress، وذلك بسبب عدم كفاية تنقية المدخلات وهروب المخرجات. تؤثر هذه الثغرة على جميع الإصدارات حتى 2.8.192 شاملاً. وهذا يتيح للمهاجمين الذين تمت مصادقتهم ولديهم وصول بمستوى المشترك (subscriber-level) وما فوق، حقن نصوص ويب عشوائية في الصفحات التي سيتم تنفيذها عند قيام أي مستخدم بالوصول إلى الصفحة المخترقة. لا يتم التحقق من سمة HTML الخاصة بالجانب العميل "pattern" التي تفرض إدخالًا أبجديًا رقميًا فقط في حقل twitterusername على جانب الخادم، مما يسمح لمالك القائمة الذي لديه وصول بمستوى المشترك بتقديم حملة كسر السمة (attribute-breakout payload) تتجاوز التنقية ويتم تخزينها مباشرةً في جدول الحقول المخصصة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.