CVE-2026-113494: falha de baixa gravidade em GeoDirectory
GeoDirectory < 2.8.195 - Contributor+ Non-Public Listing Disclosure via gd_post_content Shortcode
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
28Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 2.7epss 0.2%
The GeoDirectory WordPress plugin before 2.8.195 does not perform any status or ownership check when rendering a listing referenced by an id attribute in its field shortcodes, allowing users with the Contributor role and above to disclose the content and custom fields of other users' draft, pending, private and trashed listings.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N
Produtos afetados
Unknown · GeoDirectoryPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/29efa17c-fee7-4bd5-b52c-d0ce73bd786c/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — GeoDirectory
No mesmo produto, das mais perigosas para as menos.
CVE-2023-0278HIGHGeoDirectory < 2.2.24 - Admin+ SQLiEPSS 0.8%CVE-2026-113673HIGHGeoDirectory < 2.8.194 - Admin+ RCE via DB Text ExportEPSS 0.6%CVE-2022-4775MEDIUMGeoDirectory < 2.2.22 - Contributor+ Stored XSS via ShortcodeEPSS 0.5%CVE-2026-16988HIGHGeoDirectory < 2.8.169 - Unauthenticated Pending/Draft Listing Disclosure via markers REST EndpointEPSS 0.4%CVE-2026-16968MEDIUMGeoDirectory < 2.8.168 - Contributor+ User Email Disclosure via geodir_json_search_usersEPSS 0.4%CVE-2026-113488MEDIUMGeoDirectory < 2.8.196 - Contributor+ Stored XSS via gd_post_badge 'cta' AttributeEPSS 0.3%