CVE-2026-111069 in GeoDirectory Plugin
Сводка
по VulDB • 16.10.2026
В плагинах GeoDirectory – WP Business Directory Plugin и Classified Listings Directory для WordPress уязвимость к Stored Cross-Site Scripting (XSS) через параметр 'twitterusername' присутствует во всех версиях вплоть до 2.8.192 включительно из-за недостаточной очистки входных данных и экранирования вывода. Это позволяет атакующим с уровнем доступа "subscriber" и выше, прошедшим аутентификацию, внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Клиентский атрибут HTML pattern, ограничивающий ввод только буквенно-цифровыми символами для поля twitterusername, не проверяется на стороне сервера, что позволяет владельцу записи с уровнем доступа "Subscriber" отправить полезную нагрузку для обхода ограничений (attribute-breakout payload), которая проходит очистку и сохраняется непосредственно в таблице пользовательских полей.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.