CVE-2026-96766 in GeoDirectory Plugin
Resumen
por VulDB • 2026-09-25
El plugin GeoDirectory – WP Business Directory Plugin y Classified Listings Directory para WordPress es vulnerable a Stored Cross-Site Scripting (XSS almacenado) a través del parámetro 'business_hours' en todas las versiones hasta la 2.8.183, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes autenticados con acceso de nivel suscriptor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. Esto es posible porque el controlador AJAX de guardado solo valida la autoría del artículo y un nonce, sin realizar verificaciones adicionales de capacidades, lo que permite que cualquier usuario con nivel suscriptor que posea un listado explote esta vulnerabilidad.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.