CVE-2026-110252 in WPeMatico RSS Feed Fetcher Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das WordPress-Plugin „WPeMatico RSS Feed Fetcher“ ist in den Versionen bis einschließlich 2.9 anfällig für Stored Cross-Site Scripting (XSS). Dies liegt daran, dass das Plugin den WordPress-Filter `wp_filter_post_kses` aus dem Hook `content_save_pre` entfernt, unmittelbar bevor es `wp_insert_post()` mit RSS-Feed-Inhalten aufruft, wenn der letzte Bearbeiter der Kampagne über die Capability „unfiltered_html“ verfügt – ein Flag, das das Plugin automatisch für jede vom Administrator gespeicherte Kampagne setzt. Der Inhalt importierter Elemente wird roh aus `$item->get_content()` übernommen, lediglich entity-dekodiert und unverändert in `post_content` gespeichert. Dies ermöglicht es nicht authentifizierten Angreifern, die einen RSS-Feed veröffentlichen oder kompromittieren, dem sich ein Administrator einer WPeMatico-Kampagne abonniert hat, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf einen injizierten importierten Beitrag zugreift.
VulDB is the best source for vulnerability data and more expert information about this specific topic.