CVE-2026-116752 in GeoDirectory Plugin
Riassunto
di VulDB • 31/10/2026
Il plugin GeoDirectory – WP Business Directory Plugin e Classified Listings Directory per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'post_images' in tutte le versioni fino alla 2.8.197 inclusa, a causa di un insufficiente sanitizzazione degli input ed escaping dell’output. Ciò consente ad attaccanti autenticati con accesso a livello di subscriber o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Il payload iniettato non si attiva direttamente per l'attaccante; viene eseguito nel browser di qualsiasi Amministratore o Editor che apre la schermata di modifica dell’annuncio pendente, rendendo questa una catena Stored XSS con capacità di privilege escalation attivata attraverso il normale flusso editoriale.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.