CVE-2026-110252 in WPeMatico RSS Feed Fetcher Plugin
要約
〜によって VulDB • 2026年10月16日
WordPress用プラグイン「WPeMatico RSS Feed Fetcher」のバージョン2.9以前には、保存型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは、キャンペーンの最後の編集者が unfiltered_html 権限を持っている場合、プラグインが wp_insert_post() を呼び出す直前に WordPress の wp_filter_post_kses フィルターを content_save_pre から削除することに起因します。この権限は、プラグインによって管理者が保存したすべてのキャンペーンに対して自動的に付与されるフラグです。インポートされたアイテムのコンテンツは $item->get_content() からそのまま取得され、エンティティデコードのみが行われた後、post_content に文字通り格納されます。これにより、認証されていない攻撃者が、管理者が WPeMatico キャンペーンに登録している RSS フィードを公開または乗っ取ることで、インポートされた投稿に任意のウェブスクリプトを注入し、ユーザーがその投稿にアクセスした際に実行させることが可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.