CVE-2026-111069 in GeoDirectory Plugin
सारांश
द्वारा VulDB • 16/10/2026
WordPress के लिए GeoDirectory – WP Business Directory Plugin और Classified Listings Directory प्लगइन में 2.8.192 संस्करण सहित सभी संस्करणों तक 'twitterusername' पैरामीटर के माध्यम से अपर्याप्त इनपुट सैनिटाइजेशन (input sanitization) और आउटपुट एस्केपिंग की कमी के कारण Stored Cross-Site Scripting (XSS) का दोष है। इससे Subscriber-स्तरीय पहुँच या उससे अधिक पहुँच वाले प्रमाणीकृत हमलावरों को उन पृष्ठों में मनमाने वेब स्क्रिप्ट्स इंजेक्ट करने की संभावना हो जाती है, जो किसी उपयोगकर्ता द्वारा इंजेक्टेड पृष्ट तक पहुंचने पर निष्पादित होते हैं। twitterusername फ़ील्ड पर केवल अल्फान्यूमेरिक इनपुट को लागू करने वाला क्लाइंट-साइड HTML pattern attribute सर्वर-साइड पर सत्यापित नहीं किया जाता है, जिससे Subscriber-स्तरीय पहुँच वाले एक लिस्टिंग मालिक का उपयोग करके attribute-breakout payload सबमिट किया जा सकता है जो सैनिटाइजेशन को बाईपास करता है और सीधे कस्टम फ़ील्ड तालिका में संग्रहीत हो जाता है।
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.