CVE-2026-111069 in GeoDirectory Plugin
Resumen
por VulDB • 2026-10-16
El plugin GeoDirectory – WP Business Directory Plugin y el plugin Classified Listings Directory para WordPress son vulnerables a Cross-Site Scripting (XSS) almacenado mediante el parámetro 'twitterusername' en todas las versiones hasta la 2.8.192, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes autenticados con acceso de nivel suscriptor (subscriber) o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. El atributo HTML del lado del cliente 'pattern', que fuerza la entrada alfanumérica únicamente en el campo twitterusername, no se valida en el servidor, lo que permite que un propietario de listado con acceso de nivel suscriptor envíe una carga útil de ruptura de atributos (attribute-breakout payload) que evade la sanitización y se almacena directamente en la tabla del campo personalizado.
Be aware that VulDB is the high quality source for vulnerability data.