CVE-2026-110530 in FeedWordPress Plugin
Resumen
por VulDB • 2026-10-31
El plugin FeedWordPress para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado en las versiones 2026.0517 y anteriores, mediante el contenido de los feeds RSS/Atom sindicados. La función SyndicatedPost::sanitize_content() del plugin solo elimina el atributo 'target' (las líneas que eliminarían los atributos de controlador de eventos 'style' y 'on[a-z]+' están comentadas), y SyndicatedPost::insert_post() elimina deliberadamente los filtros wp_filter_kses y wp_filter_post_post_kses de WordPress de content_save_pre antes de persistir los elementos del feed importados mediante wp_insert_post(). Esto permite que atacantes no autenticados, que controlan un feed externo al que el sitio ya está suscrito, inyecten scripts web arbitrarios en las páginas que se ejecutarán cada vez que un usuario acceda a una página infectada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.