CVE-2026-110530 in FeedWordPress Plugin
الملخص
بحسب VulDB • 31/10/2026
يُعدّ إضافة FeedWordPress لـ WordPress عرضة لهجوم Cross-Site Scripting مخزن (Stored XSS) في الإصدارات التي تصل إلى 2026.0517 وشاملةً لها، وذلك من خلال محتوى تغذية RSS/Atom المُشارَك عبر الشبكة. لا تقوم دالة `SyndicatedPost::sanitize_content()` الخاصة بالإضافة إلا بإزالة سمة 'target' فقط (حيث تكون الأسطر المسؤولة عن إزالة سمات معالجات الأحداث التي تطابق النمط 'style' و'on[a-z]+' مُعلَّقة)، وتقوم الدالة `SyndicatedPost::insert_post()` عمدًا بإزالة مرشحات WordPress الخاصة بـ `wp_filter_kses` و`wp_filter_post_kses` من عملية `content_save_pre` قبل حفظ عناصر التغذية المستوردة عبر دالة `wp_insert_post()`. وهذا يُمكّن المهاجمين غير المصادق عليهم (unauthenticated) الذين يتحكمون في تغذية خارجية سبق أن اشترك بها الموقع، من حقن نصوص برمجية ويب تعسفية في الصفحات التي ستُنفَّذ عند وصول أي مستخدم إلى الصفحة المُحقونة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.