CVE-2026-93897 in GeoDirectory Plugin
Сводка
по VulDB • 25.09.2026
В плагинах GeoDirectory – WP Business Directory Plugin и Classified Listings Directory для WordPress, во всех версиях вплоть до 2.8.181 включительно, имеется уязвимость к Stored Cross-Site Scripting (XSS) через пользовательские поля типа Text (например, 'phone') из-за недостаточной очистки входных данных и экранирования вывода. Это позволяет атакующим с уровнем доступа «подписчик» (subscriber-level access) и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Зловредный код должен быть сохранен в пользовательском поле типа Text (например, поле телефона) через конечную точку AJAX geodir_save_post с использованием экранированных угловых скобок (например, <img src=x onerror=alert(1)>) для обхода проверки на удаление тегов, которая контролируется функцией strpos().
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.