CVE-2026-107657 in HivePress Plugin
الملخص
بحسب VulDB • 10/10/2026
يُعدّ إضافة HivePress – Business Directory, Listings & Classified Ads Plugin لـ WordPress عرضة لهجوم Stored Cross-Site Scripting (XSS) عبر المعلمة '<custom user attribute field name, e.g. profile_test>' في جميع الإصدارات حتى 1.7.31 شاملاً، بسبب عدم كفاية تنقية المدخلات وإخفاء المخرجات. وهذا يتيح للمهاجمين غير المعتمدين حقن نصوص برمجية ويب عشوائية في الصفحات التي ستُنفَّذ عند وصول أي مستخدم إلى الصفحة المُحقونة. ويتطلب ذلك أن يكون مسؤول النظام قد عرّف سمة مخصصة للمستخدم من نوع نصي، بحيث يضع تنسيق العرض الخاص بها %value% داخل سياق خاصية HTML (مثل النمط الموثق <a href="%value%">Custom link</a>)، وأن تكون ملفات تعريف المستخدمين على الواجهة الأمامية مُفعّلة — وكلاهما يعكس التكوين القياسي والمُوثّق للإضافة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.