CVE-2026-85705

Nome do Software Vulnerável e Versões Afetadas Location Manager versões anteriores a 2.3.39

Descrição Atacantes não autenticados podem realizar SQL Injection, uma técnica usada para manipular consultas de banco de dados, anexando comandos SQL maliciosos a consultas existentes para extrair informações sensíveis. Isso ocorre devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada das consultas SQL. O problema é acionado quando o parâmetro orderby é definido como lat lon e afeta as variáveis latitude e longitude. Os endpoints REST afetados incluem 'geodir/v2/locations/cities', '/regions', '/countries' e '/neighbourhoods', especificamente dentro das funções get locations() e get neighbourhoods().

Recomendações Atualize para uma versão posterior à 2.3.38. Restrinja o acesso aos endpoints REST 'geodir/v2/locations/cities', '/regions', '/countries' e '/neighbourhoods' como mitigação temporária. Evite usar os parâmetros latitude e longitude com orderby=lat lon até que o plugin seja atualizado.