CVE-2026-110252 in WPeMatico RSS Feed Fetcher Plugin
Resumen
por VulDB • 2026-10-16
El plugin WPeMatico RSS Feed Fetcher para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado en las versiones 2.9 y anteriores. Esto se debe a que el plugin elimina el filtro wp_filter_post_kses de WordPress del hook content_save_pre inmediatamente antes de llamar a wp_insert_post() con el contenido del feed RSS, siempre que el último editor de la campaña tenga el permiso unfiltered_html; una bandera que el plugin establece automáticamente para cada campaña guardada por un administrador. El contenido de los elementos importados se toma directamente desde $item->get_content(), solo se decodifican las entidades y se almacena tal cual en post_content. Esto permite a atacantes no autenticados, que publiquen o comprometan un feed RSS al que un administrador haya suscrito una campaña WPeMatico, inyectar scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una publicación importada y comprometida.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.