GeoDirectory mit über 10.000 Installationen: Abonnenten konnten Dateien vom Server löschen

Markus Seyfferth

Autor Dr. Web

27. Okt. 2026

4 Min. Lesezeit

Mit einem Abonnentenkonto ließen sich bei GeoDirectory Dateien auf dem Server auslesen und löschen. Version 2.8.194 vom 20. Oktober schließt diese Sicherheitslücke zusammen mit acht weiteren Fehlern im Plugin für Branchen- und Kleinanzeigenverzeichnisse. Die US-Schwachstellendatenbank NVD zählt in diesem Jahr 29 Einträge zum Plugin, drei davon kritisch.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Handwerksbetriebe, Arztpraxen und Vereine legen auf Websites mit GeoDirectory ihre Einträge an, mit eigenem Konto oder als Gast. Mehr als 10.000 aktive Installationen zählt wordpress.org für das Plugin von AyeCode (Stand 27. Oktober).^[1] Die Schwachstellendatenbank WPScan veröffentlichte am 22. Oktober sieben Lücken von vier Sicherheitsforschern.^[3]

Auf einen Blick

Das Wichtigste in Kürze

Version 2.8.194 schließt sieben Lücken mit CVE-Nummer, darunter das Auslesen und Löschen von Dateien mit Abonnentenkonto (Schweregrad nach CVSS 3.1: 6,4 von 10, vergeben von WPScan).
Ohne Anmeldung ließen sich unveröffentlichte Einträge lesen und Einträge anderer Gäste ändern.
Angriffe sind nicht bekannt, Einzelheiten zur Ausnutzung will WPScan am 5. November veröffentlichen.
Aktuell ist Version 2.8.197 vom 23. Oktober.

Was konnten Angreifer mit einem Abonnentenkonto anrichten?

Weiße Karteibox, geöffnete Schublade mit orangefarbenen Akten, geöffnetes Schloss — GeoDirectory-Sicherheitslücke ermöglichte unbefugtes Lesen und Löschen von Serverdateien durch fehlerhafte Bildpfad-Verarbeitung

Beim Speichern eines Eintrags übernahm GeoDirectory eine Bildadresse ungeprüft als Dateipfad auf dem Server.^[4] Ein Abonnent konnte so Dateien außerhalb des Webverzeichnisses lesen und löschen, sofern ihr Name auf eine erlaubte Medien-Endung lautet. Laut WPScan landete die Datei unter einer öffentlichen Adresse, das Original verschwand. Den Schweregrad stuft WPScan als mittel ein.

Auf Verzeichnis-Websites ist ein Abonnentenkonto keine hohe Hürde. Steht die Registrierung offen, damit Firmen ihre Einträge pflegen, kann sich jeder Angreifer selbst ein Konto anlegen. Ohne Anmeldung ließen sich Entwürfe, private und zur Prüfung eingereichte Einträge auslesen.^[5] Bei eingeschalteter Gast-Funktion konnten Fremde Einträge anderer Gäste ändern oder zurückziehen.^[6]

Warum reißt die Serie bei GeoDirectory nicht ab?

Seit Januar hat die NVD 29 Einträge zu GeoDirectory veröffentlicht, Zusatz-Plugins nicht mitgezählt.^[7] Der Sicherheitsdienst Patchstack meldete im Juni und September drei kritische SQL-Injections, die ohne Anmeldung funktionierten (CVSS 3.1: 9,3). Im August meldete der Sicherheitsanbieter Wordfence eine Lücke, über die Abonnenten beliebige Dateien löschen konnten (CVSS 3.1: 8,1).

Die meisten neuen Fehler folgen demselben Muster: Das Plugin prüfte nicht, ob ein Eintrag, ein Bild oder eine Datei dem zugreifenden Nutzer gehört oder öffentlich ist. Dieselbe fehlende Prüfung erlaubte zuletzt in Otter Blocks und im Spenden-Plugin GiveWP den Blick auf unveröffentlichte Inhalte. Drei der sieben Lücken meldete Karthik Ramakrishnan, von dem auch die Funde in Download Monitor stammen.

Eine Version der Reihe 2.8 nutzten laut wordpress.org am 27. Oktober 90,6 Prozent der Installationen.^[1] Ob dort schon 2.8.194 installiert ist, zeigt die Statistik nicht, weil sie nur Versionsreihen zählt. Die alte Reihe 2.3 nutzen noch 5,3 Prozent.

GeoDirectory im Steckbrief

Reichweite, Schweregrad und Sicherheitsupdates, Stand 27. Oktober 2026

10.000

aktive Installationen und mehr zählt wordpress.org

Sicherheitskorrekturen bündelt Version 2.8.194 vom 20. Oktober

6,4

von 10 Punkten nach CVSS 3.1 vergab WPScan für das Lesen und Löschen von Dateien mit Abonnentenkonto

Einträge zu GeoDirectory hat die NVD seit Januar veröffentlicht

Acht Sicherheitsupdates in 19 Tagen

5. Oktober

Version 2.8.189

Schließt eine Lücke, über die sich Skripte in das E-Mail-Feld einschleusen ließen

9. bis 15. Oktober

Versionen 2.8.191 bis 2.8.193

Drei Updates gegen eingeschleuste Skripte in Bildtiteln, eingebetteten Inhalten und Feeds

20. Oktober

Version 2.8.194

Neun Korrekturen, darunter Dateizugriff mit Abonnentenkonto und Einsicht in unveröffentlichte Einträge

21. bis 23. Oktober

Versionen 2.8.195 bis 2.8.197

Weitere Sperren für private und passwortgeschützte Einträge sowie gegen eingeschleuste Skripte

5. November

Angriffsdetails

WPScan will dann Einzelheiten zu sechs der sieben Lücken veröffentlichen

Bei offener Registrierung kostet ein Abonnentenkonto nur eine E-Mail-Adresse. Lücken, für die ein solches Konto genügt, wiegen in Verzeichnissen deshalb fast so schwer wie Lücken ohne Anmeldung.
Michael Dobler, Herausgeber Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie GeoDirectory auf Version 2.8.197 mit drei weiteren Sicherheitskorrekturen.^[2] Automatische Updates schalten Sie in WordPress für jedes Plugin einzeln ein.^[9]
Zugänge prüfen: Schalten Sie Gast-Einträge und die offene Registrierung ab, sofern Ihr Verzeichnis beides nicht braucht.
Dateien kontrollieren: Ein aktuelles Backup ersetzt verschwundene Bilder und Dokumente; passende Werkzeuge stellt der Vergleich der Backup-Plugins für WordPress vor.
Datenschutz klären: Unveröffentlichte Einträge können Namen, Adressen und Telefonnummern enthalten. Gerieten solche Daten in fremde Hände, gilt die Meldepflicht nach Art. 33 DSGVO binnen 72 Stunden.^[10]

Betreiber von Multisite-Netzwerken sollten schnell handeln: Vor Version 2.8.194 konnten Administratoren einzelner Websites Programmcode einschleusen, der bei jedem Seitenaufruf lief (CVSS 3.1: 7,2).^[8] Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit, Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen Plugin-Updates teils automatisch ein. Verzeichniseinträge gehören für Firmen zur lokalen Suchmaschinenoptimierung.

FAQ: GeoDirectory mit über 10.000 Installationen: Abonnenten konnten Dateien vom Server löschen

Was ist GeoDirectory?

GeoDirectory ist ein kostenloses WordPress-Plugin von AyeCode, mit dem Betreiber Branchenverzeichnisse, Kleinanzeigen- und Ortsportale aufbauen. Firmen und Vereine legen dort Einträge mit Adresse, Karte und Bildern an, mit eigenem Konto oder als Gast. Laut wordpress.org läuft das Plugin auf mehr als 10.000 Websites.

Welche Version von GeoDirectory ist sicher?

Nach dem Stand vom 27. Oktober 2026 ist Version 2.8.197 vom 23. Oktober aktuell. Die sieben von WPScan veröffentlichten Lücken schloss Version 2.8.194 vom 20. Oktober, die Versionen 2.8.195 bis 2.8.197 enthalten weitere Sicherheitskorrekturen. Ältere Versionen sollten Sie umgehend aktualisieren.

Wird die Sicherheitslücke in GeoDirectory schon ausgenutzt?

Bis zum 27. Oktober 2026 sind keine Angriffe auf die neuen Lücken bekannt. Die US-Behörde CISA führt GeoDirectory nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. WPScan will Einzelheiten zur Ausnutzung von sechs Lücken am 5. November veröffentlichen, zur siebten am 22. November.

Was darf ein Abonnent in WordPress?

Abonnent ist die Benutzerrolle mit den wenigsten Rechten in WordPress: Abonnenten lesen Inhalte und pflegen ihr eigenes Profil. Für manche Lücken genügt trotzdem ein solches angemeldetes Konto. Erlaubt eine Website die freie Registrierung, kann sich ein Angreifer dieses Konto selbst anlegen.

Wie schalte ich die offene Registrierung in WordPress ab?

Unter Einstellungen, Allgemein entfernen Sie den Haken bei „Jeder kann sich registrieren“ und speichern die Änderung. Neue Konten legen danach nur noch Administratoren an. Gast-Einträge steuert GeoDirectory in den eigenen Einstellungen des Plugins.