CVE-2026-110703
Açıklama
WordPress için geliştirilen GeoDirectory – WP Business Directory Plugin ve Classified Listings Directory eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 2.8.191 dahil tüm sürümlerde 'post_content' parametresi üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, abone düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalışacak rastgele web betikleri eklemesini mümkün kılar. GeoDir_Post_Data::can_edit() içindeki sahiplik kontrolü yükün kim tarafından depolanabileceğini sınırladığından, bu işlem saldırganın yayınlanmış bir ilana sahip olmasını gerektirir; ancak ajax_save_post() mevcut post_status değerini yeniden uyguladığı için, halihazırda yayınlanmış bir ilandaki düzenlemeler yeniden moderasyonu atlatır ve anında yayında kalır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| paoltaia GeoDirectory – WP Business Directory Plugin and Classified Listings Directory | v ≤ 2.8.191 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.