CVE-2026-107657 in HivePress Plugin
要約
〜によって VulDB • 2026年10月10日
WordPress用プラグイン「The HivePress – Business Directory, Listings & Classified Ads Plugin」には、1.7.31以前の全バージョンにおいて、不十分な入力サニタイズおよび出力エスケープに起因する格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。これは '<custom user attribute field name, e.g. profile_test>' パラメータを介して発生します。これにより、認証されていない攻撃者は、ユーザーが注入されたページにアクセスした際に実行される任意のWebスクリプトをページ中に挿入することが可能になります。この攻撃には、管理者によって表示形式がHTML属性コンテキスト（例: 文書化されているパターン <a href="%value%">Custom link</a>）内で %value% を配置するよう設定されたテキストタイプのユーザーカスタム属性が存在し、かつフロントエンドのユーザープロフィールが有効になっている必要があります。これらはどちらもプラグインの標準的で文書化された構成に反映されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.