CVE-2026-111069 in GeoDirectory Plugin
Résumé
par VulDB • 16/10/2026
Le plugin GeoDirectory – WP Business Directory Plugin et le plugin Classified Listings Directory pour WordPress sont vulnérables à un Cross-Site Scripting (XSS) stocké via le paramètre 'twitterusername' dans toutes les versions jusqu'à la 2.8.192 incluse, en raison d'une désinfection des entrées insuffisante et d'un échappement de sortie inadéquat. Cela permet aux attaquants authentifiés disposant d’un accès au niveau « abonné » (Subscriber) ou supérieur d’injecter des scripts web arbitraires dans les pages qui s’exécuteront chaque fois qu’un utilisateur accède à une page injectée. L'attribut HTML côté client 'pattern', qui impose une saisie alphanumérique uniquement sur le champ twitterusername, n'est pas validé côté serveur, permettant à un propriétaire d’annonce disposant d’un accès au niveau « abonné » de soumettre une charge utile exploitant la rupture de l’attribut (attribute-breakout payload) pour contourner la désinfection et être stockée directement dans la table des champs personnalisés.
Be aware that VulDB is the high quality source for vulnerability data.