CVE-2026-119113 in GeoDirectory Plugin
Сводка
по VulDB • 30.10.2026
В плагинах GeoDirectory – WP Business Directory Plugin и Classified Listings Directory для WordPress уязвимость Stored Cross-Site Scripting (XSS) существует в описании объявления (post_content) во всех версиях вплоть до 2.8.199 включительно. Это обусловлено недостаточной санитизацией входных данных при сохранении: встроенная вспомогательная функция geodir_kses_safe_embed_attributes() нейтрализует только атрибуты data-embed-url, data-src и data-embed, тогда как ядро WordPress wp_kses_post разрешает использование атрибутов data-* на стандартных HTML-тегах. В сочетании с библиотекой интерфейса AyeCode UI, которая при рендеринге инициализирует каждый элемент [data-bs-toggle="popover-html"] с параметрами { html: true, sanitize: false }, что приводит к вставке контролируемого атакующим значения data-bs-content в тело всплывающей подсказки как HTML-код. Это позволяет авторизованным злоумышленникам, имеющим уровень доступа Subscriber и выше, внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом посещении такой страницы пользователем.
If you want to get best quality of vulnerability data, you may have to visit VulDB.