CVE-2026-111069 in GeoDirectory Plugin
要約
〜によって VulDB • 2026年10月16日
WordPress用プラグイン「GeoDirectory – WP Business Directory Plugin」および「Classified Listings Directory plugin」には、2.8.192以前の全バージョンにおいて、保存型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは、「twitterusername」パラメータにおける入力値のサニタイズと出力エスケープが不十分であることが原因です。これにより、サブスクライバーレベル以上の権限を持つ認証済み攻撃者は、任意のWebスクリプトをページに注入でき、ユーザーがその注入されたページにアクセスするたびにスクリプトが実行されます。「twitterusername」フィールドで英数字のみを入力させるクライアント側のHTML pattern属性はサーバーサイドでは検証されないため、サブスクライバーレベルの権限を持つリスト所有者は、サニタイズを回避してカスタムフィールドテーブルに直接保存される属性突破ペイロードを送信することができます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.