GeoDirectory WordPress-Plugin: Reflected Cross-Site Scripting

Zusammenfassung

Eine Reflected-Cross-Site-Scripting-Schwachstelle (XSS) im WordPress-Plugin GeoDirectory erlaubt es einem Angreifer, schädliche Skripte in Seiten der betroffenen Website einzuschleusen. Für den Angriff muss ein Opfer, typischerweise ein angemeldeter Administrator, einen präparierten Link öffnen oder eine präparierte Seite besuchen. Eine erfolgreiche Ausnutzung kann den Diebstahl von Sitzungsdaten oder Zugangsdaten sowie Aktionen im Browser des Opfers ermöglichen.

Betroffen

• GeoDirectory WordPress-Plugin, Versionen von n/a bis 2.8.202 (gemäss Patchstack und CVE-Eintrag; untere Grenze nicht bestätigt)

Behoben in

• Version 2.8.203 gemäss Patchstack und der Lösungsangabe im CVE-Eintrag; nicht unabhängig mit dem Changelog des Herstellers verifiziert.

Umgehung

• Unbekannt. Es wurde keine vom Hersteller bestätigte Massnahme gefunden.
• Patchstack meldet eine Schutzregel, die Angriffe blockiert, bis das Plugin aktualisiert ist; diese ist nur mit einem Patchstack-Abonnement verfügbar.

Ausnutzung

• Patchstack stuft die Priorität als mittel ein und erwartet eine Ausnutzung; der Schwachstellentyp wird laut Patchstack in Massenangriffen eingesetzt.
• Es wurde kein bestätigter öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn für diese CVE gefunden.
• Es ist eine Benutzerinteraktion erforderlich (UI:R).

Unsere Empfehlung

• Alle WordPress-Websites mit GeoDirectory erfassen und die genauen Versionen dokumentieren.
• GeoDirectory auf Version 2.8.203 oder neuer beziehungsweise auf die neueste verfügbare Version aktualisieren und die installierte Version anschliessend prüfen.
• Bis zur Aktualisierung den Zugriff auf betroffene Seiten nach Möglichkeit einschränken und eine Web Application Firewall mit XSS-Regeln in Betracht ziehen.
• Administratorkonten und Sitzungen prüfen und Administratoren warnen, unbekannte Links nicht im angemeldeten Zustand zu öffnen.
• Verdächtige Links und unerwartete administrative Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack: WordPress GeoDirectory Plugin <= 2.8.202 XSS patchstack.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:22.