CVE-2026-93756 in Social Post Feed Plugin
Zusammenfassung
von VulDB • 02.10.2026
Das WordPress-Plugin „Smash Balloon Social Post Feed – Simple Social Feeds for WordPress“ ist in allen Versionen bis einschließlich 4.13.0 aufgrund unzureichender Eingabevalidierung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle über Facebook-Kommentarnachrichten via v-html im Admin Builder Preview anfällig. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte einzufügen, die ausgeführt werden, sobald ein Administrator die Vorschauseite des Feed-Builders aufruft. Dieser Angriff erfordert lediglich ein Facebook-Konto, um einen Kommentar auf der verbundenen Facebook-Seite zu posten; WordPress-Anmeldedaten sind nicht erforderlich. Darüber hinaus führt die Verwendung von v-show anstelle von v-if dazu, dass eingefügtes HTML – einschließlich onerror-Handler – im DOM ausgewertet wird, selbst wenn der Kommentarsektion visuell nicht angezeigt wird. In Kombination mit dem Fehlen einer URL-Validierung im cff_install_addon AJAX-Handler (admin/addon-functions.php) kann ein in der Sitzung eines Administrators ausgeführtes Skript die Installation beliebiger Plugins von einer vom Angreifer kontrollierten URL auslösen, was zu serverseitiger Code-Ausführung führen kann.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.