CVE-2026-103520

Nome do Software Vulnerável e Versões Afetadas HivePress – Business Directory, Listings & Classified Ads Plugin versões anteriores a 1.7.32

Descrição A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting. Isso ocorre por meio do parâmetro custom text attribute (user-defined field name). O problema é explorável quando um administrador configura um atributo de Texto com um formato de exibição que coloca o token %value% dentro de um atributo HTML. Isso permite a injeção de scripts web arbitrários que são executados quando um usuário acessa a página afetada.

Recomendações Atualize o HivePress – Business Directory, Listings & Classified Ads Plugin para a versão 1.7.32 ou posterior.