CVE-2026-113673
Beschrijving NL
De GeoDirectory WordPress-plug-in vóór 2.8.194 ontsnapt niet goed aan door de beheerder gedefinieerde tekst voordat deze in een gegenereerd PHP-bestand in zijn eigen map wordt geschreven, waardoor gebruikers met een hoog privilege, zoals een subsitebeheerder op een multisite-netwerk, die anders geen code kan uitvoeren, externe code-uitvoering kunnen bereiken die elke niet-geverifieerde bezoeker kan activeren.
Origineel (Engels) tonen
The GeoDirectory WordPress plugin before 2.8.194 does not properly escape administrator-defined text before writing it into a generated PHP file in its own folder, allowing high privilege users such as a subsite administrator on a multisite network, who cannot otherwise run code, to achieve Remote Code Execution that any unauthenticated visitor can trigger.