PT-2026-98379 · WordPress · Geodirectory
CVSS v3.1
6.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
GeoDirectory versões anteriores a 2.8.184
Description
O plugin GeoDirectory – WP Business Directory Plugin and Classified Listings Directory para WordPress contém um problema de Stored Cross-Site Scripting. Isso ocorre devido à sanitização insuficiente de entrada e escape de saída ao processar o parâmetro
business hours. Atacantes autenticados com nível de acesso de assinante ou superior podem injetar scripts web arbitrários em páginas. A falha existe porque o manipulador AJAX de salvamento valida apenas a autoria da postagem e um nonce, sem realizar verificações de capacidade adicionais, permitindo que qualquer assinante proprietário de uma listagem execute o ataque.Recommendations
Atualize para uma versão posterior a 2.8.183.
Como mitigação temporária, restrinja a capacidade de usuários de nível de assinante de editar o parâmetro
business hours.Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Geodirectory