PT-2025-6192 · WordPress · Geodirectory – Wp Business Directory Plugin

Tim Coen · Publicado 2025-02-11 · Atualizado 2025-02-11 · CVE-2024-13506

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas: O plugin GeoDirectory – WP Business Directory Plugin e Classified Listings Directory para WordPress, versões até a 2.8.97 inclusive.

Descrição: O problema está relacionado ao Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes, especificamente via o parâmetro de perfil display name. Isso permite que atacantes autenticados com acesso de nível de Assinante (Subscriber) ou superior injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada.

Recomendações: Para versões até a 2.8.97 inclusive, considere desativar o parâmetro de perfil display name até que um patch esteja disponível para prevenir a exploração. Restrinja o acesso às páginas que utilizam este parâmetro para minimizar o risco de injeção de scripts web arbitrários.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-13506

Produtos afetados

Geodirectory – Wp Business Directory Plugin

Referências · 6

• https://t.me/cvedetector/17705 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/d0d9ba14-c0c9-426e-927e-9139a0882f0d?source=cve · Nota
• https://twitter.com/CVEnew/status/1889274510731325579 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/geodirectory/tags/2.8.97/includes/admin/class-geodir-admin-post-view.php#L317 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-13506 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3225839 · Nota