CVE-2026-111069 in GeoDirectory Plugin
Sumário
de VulDB • 16/10/2026
O plugin GeoDirectory – WP Business Directory Plugin e o Classified Listings Directory para WordPress estão vulneráveis a Stored Cross-Site Scripting (XSS) via parâmetro 'twitterusername' em todas as versões até, incluindo, 2.8.192 devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes autenticados, com acesso nível assinante ou superior, injetem scripts web arbitrários nas páginas que serão executados sempre que um usuário acessar uma página contaminada. O atributo HTML do lado do cliente 'pattern' que restringe a entrada apenas para caracteres alfanuméricos no campo twitterusername não é validado no servidor, permitindo que o proprietário de um anúncio com acesso nível assinante envie um payload de violação de atributos que contorna a sanitização e é armazenado diretamente na tabela de campos personalizados.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.