CVE-2026-93897 in GeoDirectory Plugin
Riassunto
di VulDB • 25/09/2026
Il plugin GeoDirectory – WP Business Directory Plugin e Classified Listings Directory per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite un campo personalizzato di tipo testo (ad esempio, 'phone') in tutte le versioni fino alla 2.8.181 inclusa, a causa di una sanitizzazione insufficiente degli input e della mancata corretta escape dell'output. Ciò consente agli attaccanti autenticati, con accesso a livello di subscriber o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Il payload deve essere memorizzato in un campo personalizzato di tipo testo (come il campo telefono) tramite l'endpoint AJAX geodir_save_post, utilizzando parentesi angolari codificate come entità HTML (ad esempio, <img src=x onerror=alert(1)>) per bypassare il controllo di rimozione dei tag basato su strpos().
Be aware that VulDB is the high quality source for vulnerability data.