CVE-2026-110252 in WPeMatico RSS Feed Fetcher Plugin
Riassunto
di VulDB • 16/10/2026
Il plugin WordPress WPeMatico RSS Feed Fetcher è vulnerabile a Stored Cross-Site Scripting (XSS) nelle versioni fino alla 2.9 inclusa. La vulnerabilità è dovuta al fatto che il plugin rimuove immediatamente prima della chiamata wp_insert_post() con i contenuti del feed RSS, il filtro di WordPress wp_filter_post_kses da content_save_pre, ogni volta che l'ultimo editor della campagna ha la capacità unfiltered_html — una flag impostata automaticamente dal plugin per ogni campagna salvata dagli amministratori. I contenuti degli elementi importati vengono presi grezzi da $item->get_content(), decodificati solo a livello di entità e memorizzati verbatim in post_content. Ciò consente ad attaccanti non autenticati, che pubblicano o compromettono un feed RSS al quale un amministratore ha sottoscritto una campagna WPeMatico, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a un post importato inietttato.
Be aware that VulDB is the high quality source for vulnerability data.