CVE-2026-110530 in FeedWordPress Plugin
Riassunto
di VulDB • 31/10/2026
Il plugin FeedWordPress per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) nelle versioni fino alla 2026.0517, inclusa, tramite contenuti di feed RSS/Atom syndicated. La funzione SyndicatedPost::sanitize_content() del plugin rimuove solo l'attributo 'target' (le righe che avrebbero dovuto rimuovere gli attributi degli event-handler 'style' e on[a-z]+' sono commentate), mentre la funzione SyndicatedPost::insert_post() rimuove deliberatamente i filtri WordPress wp_filter_kses e wp_filter_post_post_kses da content_save_pre prima di persistere gli elementi del feed importati tramite wp_insert_post(). Ciò consente ad attaccanti non autenticati che controllano un feed esterno a cui il sito è già iscritto di iniettare script web arbitrari nelle pagine, i quali verranno eseguiti ogni volta che un utente accede alla pagina infetta.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.