CVE-2026-113493 XSS almacenado en GeoDirectory vía atributo width del shortcode gd_map

Qué es CVE-2026-113493

El plugin GeoDirectory para WordPress anterior a 2.8.194 no sanitiza ni escapa algunos atributos de su shortcode de mapa antes de mostrarlos dentro de un atributo style. Esto permite a usuarios con rol Contributor y superiores realizar ataques de cross-site scripting (XSS) almacenado que se ejecutan en el contexto de cualquier usuario que vea el contenido afectado.

Productos y versiones afectadas

• GeoDirectory

  • hasta antes de 2.8.194

Qué hacer

1. Verificá si usás GeoDirectory y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.8 MEDIA

CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Altos

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

The GeoDirectory WordPress plugin before 2.8.194 does not sanitise and escape some of its map shortcode attributes before outputting them within a style attribute, allowing users with the Contributor role and above to perform Stored Cross-Site Scripting attacks that execute in the context of any user viewing the affected content.

Referencias

• wpscan.com/vulnerability/a46bd6e9-4037-4213-b36d-e418a2ed41b7/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 24 OCT · 04:39VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.