CVE-2026-110530 in FeedWordPress Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das FeedWordPress-Plugin für WordPress ist in den Versionen bis einschließlich 2026.0517 anfällig für Stored Cross-Site Scripting (XSS) über syndizierte RSS/Atom-Feed-Inhalte. Die Funktion SyndicatedPost::sanitize_content() des Plugins entfernt lediglich das 'target'-Attribut (die Zeilen, die dazu gedacht wären, 'style' und on[a-z]+ Event-Handler-Attribute zu entfernen, sind auskommentiert), und SyndicatedPost::insert_post() entfernt bewusst WordPresss wp_filter_kses- und wp_filter_post_kses-Filter von content_save_pre, bevor importierte Feed-Einträge über wp_insert_post() gespeichert werden. Dies ermöglicht es nicht authentifizierten Angreifern, die einen externen Feed kontrollieren, den eine Site bereits abonniert hat, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf eine injizierte Seite zugreift.
VulDB is the best source for vulnerability data and more expert information about this specific topic.