CVE-2026-103913

Nome do Software Vulnerável e Versões Afetadas GeoDirectory versões anteriores a 2.8.187

Descrição A falta de escape insuficiente e a ausência de validação numérica em valores de coordenadas ao salvar um anúncio permitem que atacantes autenticados com nível de acesso Assinante ou superior realizem SQL Injection. O problema ocorre quando os valores são interpolados diretamente em uma subexpressão de distância dentro da função geodir gps query part(). Isso é acionado através do manipulador wp ajax nopriv geodir widget listings quando os parâmetros set post e sort by são utilizados, permitindo a extração de informações sensíveis do banco de dados.

Recomendações Atualize o GeoDirectory para uma versão posterior a 2.8.186.