CVE-2026-113488mediumCWE-79

CVE-2026-113488: fallo de gravedad media en GeoDirectory

GeoDirectory < 2.8.196 - Contributor+ Stored XSS via gd_post_badge 'cta' Attribute

Publicada el

Seguir esta CVE+ Monitorear GeoDirectory

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

33Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 6.8epss 0.3%
The GeoDirectory WordPress plugin before 2.8.196 does not properly escape a post badge shortcode attribute for a JavaScript context before placing it in an inline event handler, allowing users with the Contributor role and above to perform Stored Cross-Site Scripting attacks against anyone who clicks the badge, including administrators.
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
Productos afectados
Unknown · GeoDirectory
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — GeoDirectory

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-0278HIGHGeoDirectory < 2.2.24 - Admin+ SQLiEPSS 0.8%CVE-2026-113673HIGHGeoDirectory < 2.8.194 - Admin+ RCE via DB Text ExportEPSS 0.6%CVE-2022-4775MEDIUMGeoDirectory < 2.2.22 - Contributor+ Stored XSS via ShortcodeEPSS 0.5%CVE-2026-16988HIGHGeoDirectory < 2.8.169 - Unauthenticated Pending/Draft Listing Disclosure via markers REST EndpointEPSS 0.4%CVE-2026-16968MEDIUMGeoDirectory < 2.8.168 - Contributor+ User Email Disclosure via geodir_json_search_usersEPSS 0.4%CVE-2026-113487MEDIUMGeoDirectory < 2.8.196 - Contributor+ Stored XSS via gd_post_badge 'link' AttributeEPSS 0.3%