VULNERABILIDAD
CVE-2026-113489 Modificación arbitraria de imágenes de listados en GeoDirectory vía IDOR
El plugin GeoDirectory para WordPress anterior a 2.8.194 no verifica que un adjunto referenciado pertenezca al listado que se está guardando. Esto permite a usuarios con acceso de nivel Subscriber y superiores modificar el título, la leyenda, el estado de moderación y la marca de destacado de imágenes pertenecientes a listados de otros usuarios, y reclamar la imagen de otro usuario como su propia imagen destacada.
Alerta de Nureq Monitor
Detectada 24 OCT · 04:39
CVSS 3.1
4.3MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 7
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-113489
El plugin GeoDirectory para WordPress anterior a 2.8.194 no verifica que un adjunto referenciado pertenezca al listado que se está guardando. Esto permite a usuarios con acceso de nivel Subscriber y superiores modificar el título, la leyenda, el estado de moderación y la marca de destacado de imágenes pertenecientes a listados de otros usuarios, y reclamar la imagen de otro usuario como su propia imagen destacada.
Productos y versiones afectadas
GeoDirectory
Qué hacer
- Verificá si usás GeoDirectory y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Ninguna
- INTEGRIDAD (I)
- Baja
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
The GeoDirectory WordPress plugin before 2.8.194 does not verify that a referenced attachment belongs to the listing being saved, allowing users with Subscriber-level access and above to modify the title, caption, moderation status and featured flag of images belonging to other users' listings, and to claim another user's image as their own featured image.
Referencias
- wpscan.com/vulnerability/2f539d43-6f95-494f-b399-21697145591e/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.