CVE-2026-110252 in WPeMatico RSS Feed Fetcher Plugin
الملخص
بحسب VulDB • 16/10/2026
يحتوي ملحق جلب خلاصات RSS الخاص بـ WordPress، والمعروف باسم WPeMatico، على ثغرة في تنفيذ نصوص عبر المواقع (XSS) المخزنة في الإصدارات التي تصل إلى 2.9 وتشملها. وتعود هذه الثغرة إلى قيام الملخص بإزالة فلتر wp_filter_post_kses الخاص بـ ووردبريس من محتوى حفظ المنشور مباشرة قبل استدعاء دالة wp_insert_post() بمحتوى خلاصة RSS، وذلك كلما كان المحرر الأخير للحملة يمتلك صلاحية unfiltered_html - وهي علامة يحددها الملحق تلقائياً لكل حملة يتم حفظها بواسطة مسؤول. يُؤخذ محتوى العناصر المستوردة بشكل خام من $item->get_content()، بعد فك تشفير الكيانات فقط، ويُخزن حرفياً في post_content. وهذا يتيح لهجوميين غير مصرح لهم بنشر أو اختراق خلاصة RSS التي اشترك فيها مسؤول في حملة WPeMatico، بحقن نصوص ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى منشور مستورد تم حقنه.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.