CVE-2026-113492 Divulgación de listados no públicos en GeoDirectory vía AJAX de listados vistos recientemente

Qué es CVE-2026-113492

El plugin GeoDirectory para WordPress anterior a 2.8.194 no realiza comprobaciones de estado, propiedad ni contraseña al cargar listados en uno de sus manejadores AJAX no autenticados. Esto permite a usuarios no autenticados divulgar el contenido de listados no públicos (borradores, pendientes y privados) proporcionando sus IDs.

Productos y versiones afectadas

• GeoDirectory

  • hasta antes de 2.8.194

Qué hacer

1. Verificá si usás GeoDirectory y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The GeoDirectory WordPress plugin before 2.8.194 does not perform status, ownership or password checks when loading listings for one of its unauthenticated AJAX handlers, allowing unauthenticated users to disclose the content of non-public (draft, pending and private) listings by supplying their IDs.

Referencias

• wpscan.com/vulnerability/5a1c17a0-c513-4f64-91c7-09c0f1878c71/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 24 OCT · 04:39VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.