CVE-2026-96766 in GeoDirectory Plugin
Zusammenfassung
von VulDB • 25.09.2026
Das GeoDirectory – WP Business Directory Plugin und das Classified Listings Directory Plugin für WordPress sind in allen Versionen bis einschließlich 2.8.183 aufgrund unzureichender Eingabebereinigung (Input Sanitization) und Output-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'business_hours'. Dies ermöglicht es authentifizierten Angreifern mit Zugriffsrechten auf Subscriber-Level oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Dies ist möglich, weil der AJAX-Save-Handler nur die Autorenschaft des Posts und einen Nonce überprüft, ohne zusätzliche Berechtigungsprüfungen durchzuführen, sodass jeder Benutzer mit Subscriber-Level-Zugriff, der ein Listing besitzt, diese Schwachstelle ausnutzen kann.
VulDB is the best source for vulnerability data and more expert information about this specific topic.