CVE-2026-109193

Nome do Software Vulnerável e Versões Afetadas HivePress – Business Directory, Listings & Classified Ads Plugin versões anteriores a 1.7.33

Descrição A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. Isso ocorre por meio do parâmetro <custom user attribute slug> (ex: hp custom link). O problema é explorável quando um administrador configura um atributo de usuário personalizado com um template display format que coloca o token %value% dentro de um contexto de atributo href, src ou style. Quando um usuário acessa a página afetada, os scripts injetados são executados em seu navegador.

Recomendações Atualize o HivePress – Business Directory, Listings & Classified Ads Plugin para a versão 1.7.33 ou posterior.