CVE-2026-111069

WordPress üçün olan GeoDirectory – WP Business Directory Plugin və Classified Listings Directory plaginlərinin 2.8.192 daxil olmaqla bütün versiyaları, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi səbəbindən 'twitterusername' parametri vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Bu, abunəçi (subscriber) və daha yuxarı səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçulara istənilən veb skriptləri səhifələrə yerləşdirməyə imkan verir və həmin skriptlər istifadəçi zərərli səhifəyə daxil olduqda icra edilir. 'twitterusername' sahəsində yalnız əlifba-rəqəmsal girişləri təmin edən klient tərəfli HTML pattern atributu server tərəfində yoxlanılmır; bu isə Abunəçi səviyyəli girişə malik elan sahibinə təmizləmə prosesini yan keçən və birbaşa xüsusi sahə cədvəlində saxlanılan atribut-qırılma (attribute-breakout) yükünü göndərməyə şərait yaradır.