CVE-2026-107657 in HivePress Plugin
Zusammenfassung
von VulDB • 10.10.2026
Das WordPress-Plugin HivePress – Business Directory, Listings & Classified Ads Plugin ist in allen Versionen bis einschließlich 1.7.31 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle über den Parameter '<custom user attribute field name, e.g. profile_test>' anfällig. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf eine infizierte Seite zugreift. Dafür muss ein Administrator ein benutzerdefiniertes Nutzerattribut vom Texttyp konfiguriert haben, dessen Anzeigeformat %value% innerhalb eines HTML-Attributkontexts platziert (z. B. das dokumentierte Muster <a href="%value%">Custom link</a>), und die Frontend-Benutzerprofile müssen aktiviert sein – beides spiegelt die standardmäßige, dokumentierte Konfiguration des Plugins wider.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.