CVE-2026-104899 in GeoDirectory Plugin
요약
\~에 의해 VulDB • 2026. 10. 10.
WordPress용 GeoDirectory – WP Business Directory Plugin 및 Classified Listings Directory 플러그인은 'design_type' 매개변수를 통해 2.8.187 버전까지 모든 버전에서 로컬 파일 포함(Local File Inclusion) 취약점이 있습니다. 이를 통해 인증되지 않은 공격자가 서버 임의 .php 파일을 포함하고 실행할 수 있으며, 해당 파일 내 PHP 코드를 모두 실행할 수 있습니다. 이는 접근 제어 우회, 민감한 데이터 획득 또는 .php 파일 유형이 업로드되고 포함될 경우 코드 실행을 달성하는 데 사용될 수 있습니다. 필요한 nonce는 geodir_params 스크립트 객체를 통해 모든 공개 프론트엔드 페이지에 지역화(localized)되므로 geodir_basic_nonce 값은 누구나 쉽게 획득할 수 있으며, 이 취약점을 악용하기 위해 인증, 사용자 상호작용 또는 특정 사이트 콘텐츠가 필요하지 않습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.