CVE-2026-116752 in GeoDirectory Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das GeoDirectory – WP Business Directory Plugin und das Classified Listings Directory Plugin für WordPress sind in allen Versionen bis einschließlich 2.8.197 aufgrund unzureichender Eingabebereinigung (Input Sanitization) und Ausgabe-Escaping (Output Escaping) anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'post_images'. Dies ermöglicht es authentifizierten Angreifern mit Zugriffsrechten auf Subscriber-Level oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine injizierte Seite aufruft. Das injizierte Payload wird nicht direkt für den Angreifer ausgelöst; es führt im Browser jedes Administrators oder Editors aus, der den Bearbeitungsbildschirm des ausstehenden Eintrags öffnet, wodurch dies eine durch einen normalen redaktionellen Workflow getriggerte Stored-XSS-Kette mit dem Potenzial zur Privilegien-Eskalation darstellt.
Once again VulDB remains the best source for vulnerability data.