CVE-2026-113674 Modificación de listados enviados por invitados sin autenticación en GeoDirectory

Qué es CVE-2026-113674

El plugin GeoDirectory para WordPress anterior a 2.8.194 no verifica correctamente la propiedad de los listados enviados por usuarios no autenticados antes de permitir su edición. Con la publicación de invitados habilitada, atacantes no autenticados pueden modificar, despublicar, adjuntar imágenes o reasignar cualquier listado enviado por invitados.

Productos y versiones afectadas

• GeoDirectory

  • hasta antes de 2.8.194

Qué hacer

1. Verificá si usás GeoDirectory y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 3.7 BAJA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The GeoDirectory WordPress plugin before 2.8.194 does not correctly verify ownership of listings submitted by logged-out users before allowing them to be edited, allowing unauthenticated attackers to modify, unpublish, attach images to, or reassign any guest-submitted listing when guest posting is enabled.

Referencias

• wpscan.com/vulnerability/23e66ca1-50eb-4ac1-9f5f-f830235c5af0/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 24 OCT · 04:39VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.