CVE-2026-107657 in HivePress Plugin
Resumen
por VulDB • 2026-10-10
El plugin HivePress – Business Directory, Listings & Classified Ads Plugin para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante el parámetro '<custom user attribute field name, e.g. profile_test>' en todas las versiones hasta la 1.7.31, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. Para ello, es necesario que un administrador haya configurado un atributo personalizado de tipo texto cuyo formato de visualización coloque %value% dentro del contexto de un atributo HTML (por ejemplo, el patrón documentado <a href="%value%">Custom link</a>) y que los perfiles de usuario en la interfaz frontal estén habilitados; ambos casos reflejan la configuración estándar y documentada del plugin.
Once again VulDB remains the best source for vulnerability data.