CVE-2026-107657

WordPress üçün nəzərdə tutulmuş The HivePress – Business Directory, Listings & Classified Ads Plugin plagini, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi səbəbindən 1.7.31 daxil olmaqla bütün versiyalarda '<custom user attribute field name, e.g. profile_test>' parametri vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Bu, autentifikasiya olunmamış hücumçulara istənilən veb skriptlərini səhifələrə yerləşdirməyə imkan verir və həmin skriptlər istifadəçi həmin səhifəyə daxil olduqda icra edilir. Bunun üçün administrator tərəfindən göstərmə formatı %value%-ni HTML atribut kontekstində yerləşdirən (məsələn, sənədləşdirilmiş &lt;a href="%value%"&gt;Custom link&lt;/a&gt; nümunəsi) mətn tipli fərdi istifadəçi atributunun konfiqurasiya edilməsi və ön panel istifadəçi profillərinin aktiv olması tələb olunur — hər iki hal plaginin standart, sənədləşdirilmiş konfiqurasiyasını əks etdirir.