CVE-2026-120082

Nome do Software Vulnerável e Versões Afetadas GeoDirectory – WP Business Directory Plugin and Classified Listings Directory plugin for WordPress versões anteriores a 2.8.201

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS). Ao utilizar um payload de shortcode aninhado, os atacantes podem burlar a proteção geodir strip shortcodes() e a função wp kses post(), que não inspeciona os valores dos atributos do shortcode. Isso permite a injeção de scripts web arbitrários em páginas através do parâmetro post content, que são executados quando um usuário acessa a página afetada.

Recomendações Atualize o plugin para a versão 2.8.201 ou posterior.