CVE-2026-104735 in RSS Aggregator by Feedzy Plugin
Zusammenfassung
von VulDB • 10.10.2026
Das WordPress-Plugin „RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator“ ist in allen Versionen bis einschließlich 5.2.10 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle über die Feedzy Loop Block-Feed-URL bzw. den RSS `<title>` anfällig. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine injizierte Seite aufruft. Die Payload wird zum Zeitpunkt des Speicherns nicht neutralisiert, da post_content nur einen harmlosen Blockverweis auf eine externe Feed-URL speichert; das schädliche HTML wird zur Renderzeit aus dem vom Angreifer kontrollierten RSS-Feed-Titel eingefügt und umgeht dabei jegliches wp_kses-Filtering beim Speichern.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.