→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-104993 · geodirectory

آسیب‌پذیری تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه GeoDirectory وردپرس

افزونه GeoDirectory (دایرکتوری کسب‌وکار و آگهی‌های طبقه‌بندی‌شده) در همه نسخه‌های تا و شامل ۲.۸.۱۸۸، به‌دلیل پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی، از طریق پارامتر email (فیلد سفارشی Contact Email با htmlvar_name) در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) آسیب‌پذیر است. مهاجم احرازهویت‌شده با دسترسی سطح مشترک (Subscriber) یا بالاتر می‌تواند اسکریپت وب دلخواه را در صفحاتی ذخیره کند که با بازدید کاربر اجرا می‌شود؛ بهره‌برداری موفق نیازمند آن است که مدیر فیلد Contact Email را برای نمایش در صفحه عمومی تک‌آگهی پیکربندی کرده و سپس ارسال مهاجم را تأیید کند. از آنجا که وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه‌ای جدیدتر از ۲.۸.۱۸۸ به‌روزرسانی کنید.