CVE-2026-119113 in GeoDirectory Plugin
الملخص
بحسب VulDB • 30/10/2026
توجد ثغرة في تخزين البرمجة النصية عبر المواقع (Stored Cross-Site Scripting) في إضافة GeoDirectory – WP Business Directory Plugin وإضافة Classified Listings Directory Directory لـ WordPress، وذلك بسبب وصف القائمة (post_content)، في الإصدارات حتى 2.8.199 وشاملة لها. ويعود ذلك إلى عدم كفاية تنقية المدخلات عند الحفظ؛ حيث تقتصر الدالة المساعدة geodir_kses_safe_embed_attributes() المرفقة على تحييد سمات data-embed-url وdata-src وdata-embed فقط، بينما يسمح جوهر WordPress (wp_kses_post) بسمات data-* على علامات HTML القياسية. بالإضافة إلى ذلك، تقوم مكتبة واجهة AyeCode UI بتهيئة كل عنصر [data-bs-toggle="popover-html"] باستخدام { html: true, sanitize: false }، مما يؤدي إلى إدراج قيمة data-bs-content التي يتحكم فيها المهاجم في جسم النافذة المنبثقة كـ HTML عند وقت العرض. وهذا يمكّن المهاجمين المصادق عليهم، ذوي مستوى وصول Subscriber وما فوقه، من حقن نصوص برمجية ويب تعسفية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم الحقن فيها.
If you want to get best quality of vulnerability data, you may have to visit VulDB.