CVE-2026-93897

Nome do Software Vulnerável e Versões Afetadas GeoDirectory – WP Business Directory Plugin and Classified Listings Directory plugin for WordPress versões anteriores a 2.8.182

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre quando scripts web arbitrários são injetados em campos personalizados do tipo texto, como phone, que são executados sempre que um usuário acessa a página afetada. O ataque é realizado através do endpoint AJAX geodir save post utilizando colchetes angulares codificados como entidades para ignorar a verificação de remoção de tags controlada por strpos().

Recomendações Atualize para uma versão posterior à 2.8.181.