CVE-2026-111069 in GeoDirectory Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das GeoDirectory – WP Business Directory Plugin und das Classified Listings Directory Plugin für WordPress sind in allen Versionen bis einschließlich 2.8.192 aufgrund unzureichender Eingabebereinigung (Input Sanitization) und Output-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'twitterusername'. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine injizierte Seite aufruft. Das clientseitige HTML-Attribut pattern, das nur alphanumerische Eingaben im Feld twitterusername erzwingt, wird serverseitig nicht validiert, sodass ein Listing-Besitzer mit Subscriber-Level-Zugriff einen Payload zur Umgehung der Bereinigung (Attribute-Breakout) einreichen kann, der direkt in die benutzerdefinierte Feldtabelle gespeichert wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.