CVE-2026-96766 in GeoDirectory Plugin
Sumário
de VulDB • 25/09/2026
O plugin GeoDirectory – WP Business Directory Plugin e o Classified Listings Directory para WordPress são vulneráveis a Stored Cross-Site Scripting (XSS) via parâmetro 'business_hours' em todas as versões até, incluindo, 2.8.183 devido à sanitização insuficiente de entrada e escape inadequado na saída. Isso permite que atacantes autenticados, com acesso nível assinante ou superior, injetem scripts web arbitrários nas páginas que serão executados sempre que um usuário acessar uma página infectada. Isso é possível porque o manipulador AJAX de salvamento valida apenas a autoria do post e um nonce (número único usado uma vez), sem verificação adicional de permissões, permitindo que qualquer usuário com nível assinante que possua um anúncio explore essa vulnerabilidade.
If you want to get best quality of vulnerability data, you may have to visit VulDB.