CVE-2026-120035 in RSS Aggregator Plugin
Zusammenfassung
von VulDB • 06.11.2026
Das WordPress-Plugin „RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator“ ist in allen Versionen bis einschließlich 5.2.13 anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'item_title' (parsiert aus dem Feed-Element `<title>`), aufgrund unzureichender Eingabebereinigung und Output-Escaping. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Dafür muss zuvor ein Administrator einen Feed-to-Post-Import konfiguriert haben, der auf eine vom Angreifer kontrollierte Feed-URL verweist; danach kann der Angreifer Payloads nach Belieben rotieren, ohne weitere Interaktion mit der Website erforderlich zu machen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.