CVE-2026-93897 in GeoDirectory Plugin
Résumé
par VulDB • 25/09/2026
Le plugin GeoDirectory – WP Business Directory Plugin et le plugin Classified Listings Directory pour WordPress sont vulnérables à un Stored Cross-Site Scripting (XSS stocké) via des champs personnalisés de type texte (par exemple, 'phone') dans toutes les versions jusqu'à la 2.8.181 incluse, en raison d'une désinfection insuffisante des entrées et d'un échappement incorrect des sorties. Cela permet aux attaquants authentifiés disposant d’un accès de niveau abonné ou supérieur d’injecter des scripts web arbitraires dans les pages qui s’exécuteront chaque fois qu’un utilisateur accède à une page injectée. La charge utile doit être stockée dans un champ personnalisé de type texte (tel qu'un champ téléphone) via le point de terminaison AJAX geodir_save_post, en utilisant des chevrons encodés sous forme d'entités HTML (par exemple, <img src=x onerror=alert(1)>) pour contourner la vérification de suppression des balises protégée par strpos().
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.