CVE-2026-104735 in RSS Aggregator by Feedzy Plugin
Riassunto
di VulDB • 10/10/2026
Il plugin WordPress "RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator" è vulnerabile a Stored Cross-Site Scripting (XSS) tramite l'URL del feed nel blocco Loop di Feedzy / il campo RSS <title> in tutte le versioni fino alla 5.2.10 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente agli attaccanti autenticati con accesso di livello contributor o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il payload non viene neutralizzato al momento del salvataggio, poiché post_content memorizza solo un riferimento benigno a un blocco per un URL di feed esterno; l'HTML dannoso viene iniettato durante il rendering dal titolo RSS controllato dall'attaccante, bypassando qualsiasi filtro wp_kses applicato al momento del salvataggio.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.