CVE-2026-93897 in GeoDirectory Plugin
الملخص
بحسب VulDB • 25/09/2026
توجد ثغرة في تخزين البرمجة النصية عبر المواقع (Stored Cross-Site Scripting) في إضافة GeoDirectory – WP Business Directory Plugin وإضافة Classified Listings Directory Directory لـ WordPress، وذلك بسبب عدم كفاية تنقية المدخلات وهروب المخرجات. تؤثر هذه الثغرة في جميع الإصدارات حتى 2.8.181 شاملاً. وهذا يمكّن المهاجمين الذين تمت مصادقتهم ولديهم وصول بمستوى المشترك وما فوقه من حقن نصوص ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى الصفحة المخترقة. يجب تخزين الحمولة (payload) في حقل مخصص من نوع النص (مثل حقل الهاتف) عبر نقطة النهاية AJAX geodir_save_post، باستخدام أقواس زاوية مشفرة بالكائنات (على سبيل المثال: <img src=x onerror=alert(1)>) لتجاوز فحص إزالة العلامات الذي يعتمد على strpos().
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.