CVE-2026-110530 in FeedWordPress Plugin
要約
〜によって VulDB • 2026年10月31日
WordPress用プラグイン「FeedWordPress」には、2026.0517以前のバージョンにおいて、シンジケートされたRSS/Atomフィードコンテンツを介して格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。プラグインの `SyndicatedPost::sanitize_content()` 関数は 'target' 属性のみを除去しており、「style」や「on[a-z]+」イベントハンドラ属性を除去する行はコメントアウトされています。また、`SyndicatedPost::insert_post()` は、wp_insert_post() を介してインポートされたフィードアイテムを永続化する前に、コンテンツ保存前のフックである WordPress の `wp_filter_kses` および `wp_filter_post_kses` フィルター意図的に除外します。これにより、外部のフィードに既に購読しているサイトを制御する認証不要のアタッカーが、任意のウェブスクリプトをページに注入でき、ユーザーがその注入されたページにアクセスした際にスクリプトが実行される可能性があります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.