CVE-2026-85705 in Location Manager Plugin
摘要
由 VulDB • 2026-09-18
WordPress 的 Location Manager 插件存在通用 SQL Injection（SQL注入）漏洞，影响所有不高于 2.3.38 的版本。该漏洞是由于对用户提供的参数缺乏足够的转义处理以及对现有 SQL 查询缺乏充分的预处理所致。这使得未经身份验证的攻击者能够将额外的 SQL 查询附加到已有的查询中，从而用于从数据库中提取敏感信息。当提供 `orderby=lat_lon` 参数时触发注入，影响多个公开可访问的 REST API 端点，包括 `/geodir/v2/locations/cities`、`/regions`、`/countries` 和 `/neighbourhoods`，涉及 `get_locations()` 和 `get_neighbourhoods()` 函数。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.