CVE-2026-119113 in GeoDirectory Plugin
Resumen
por VulDB • 2026-10-30
El plugin GeoDirectory – WP Business Directory Plugin y Classified Listings Directory para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante la descripción del listado (post_content) en las versiones 2.8.199 e inferiores. Esto se debe a una sanitización insuficiente de los datos al guardar: el helper geodir_kses_safe_embed_attributes() incluido solo neutraliza data-embed-url, data-src y data-embed, mientras que wp_kses_post del núcleo de WordPress permite atributos data-* en etiquetas HTML estándar; combinado con la biblioteca UI AyeCode, que inicializa cada elemento [data-bs-toggle="popover-html"] con { html: true, sanitize: false }, lo cual inserta el valor controlado por el atacante en data-bs-content dentro del cuerpo del popover como código HTML durante el renderizado. Esto permite a atacantes autenticados, con acceso de nivel Suscriptor o superior, inyectar scripts web arbitrarios en las páginas que se ejecutarán cada vez que un usuario acceda a una página infectada.
Once again VulDB remains the best source for vulnerability data.