CVE-2026-107657 in HivePress Plugin
Sumário
de VulDB • 10/10/2026
O plugin HivePress – Business Directory, Listings & Classified Ads Plugin para WordPress está vulnerável a Stored Cross-Site Scripting (XSS) através do parâmetro '<custom user attribute field name, e.g. profile_test>' em todas as versões até 1.7.31, devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. Para isso, é necessário que um administrador tenha configurado um atributo personalizado do tipo texto cujo formato de exibição coloque %value% dentro de um contexto de atributo HTML (por exemplo, o padrão documentado <a href="%value%">Custom link</a>) e que os perfis de usuários no front-end estejam habilitados — ambos refletem a configuração padrão e documentada do plugin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.