CVE-2026-107657

Nome do Software Vulnerável e Versões Afetadas HivePress versões anteriores a 1.7.32

Description O plugin HivePress – Business Directory, Listings & Classified Ads para WordPress contém um problema de Stored Cross-Site Scripting causado por sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas por meio de um parâmetro de nome de campo de atributo de usuário personalizado. Esses scripts são executados sempre que um usuário acessa a página afetada. Isso ocorre quando um administrador configura um atributo de usuário personalizado do tipo texto onde o %value% é colocado dentro de um contexto de atributo HTML e os perfis de usuário de front-end estão habilitados.

Recommendations Atualize para uma versão posterior à 1.7.31. Como medida de mitigação temporária, evite configurar atributos de usuário personalizados do tipo texto que coloquem %value% dentro de contextos de atributos HTML ou desative os perfis de usuário de front-end.