یک آسیب‌پذیری امنیتی جدید در افزونه GeoDirectory برای پلتفرم WordPress شناسایی شده است که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، لیست‌های ثبت شده توسط کاربران مهمان را دستکاری کنند.
در نسخه‌های پیش از 2.8.194 این افزونه، فرآیند تایید مالکیت (Ownership Verification) لیست‌هایی که توسط کاربران وارد سیستم نشده (Logged-out users) ثبت شده‌اند، به درستی انجام نمی‌شود. این نقص امنیتی زمانی قابل بهره‌برداری است که قابلیت پست‌گذاری مهمان (Guest Posting) در تنظیمات افزونه فعال باشد.
مهاجمان از طریق این آسیب‌پذیری می‌توانند اقدامات زیر را روی لیست‌های ارسال شده توسط مهمان انجام دهند:
- ویرایش اطلاعات لیست (Modify)
- غیرفعال کردن یا حذف لیست (Unpublish)
- افزودن تصاویر غیرمجاز (Attach images)
- تغییر مالکیت یا بازگشت لیست به کاربر دیگر (Reassign)
توصیه می‌شود مدیران سایت‌هایی که از این افزونه استفاده می‌کنند، سریعاً نسخه خود را به آخرین نسخه موجود (2.8.194 یا بالاتر) به‌روزرسانی کنند.
