CVE-2026-110707 in RSS Aggregator Plugin
要約
〜によって VulDB • 2026年10月29日
WordPress用プラグイン「RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator」には、5.2.12およびそれ以前のすべてのバージョンにおいて、保存型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは、インポートされたフィード内の「media:group/media:description (XML要素)」パラメータにおける入力サニタイズと出力エスケープの不備に起因するものです。これにより、認証されていない攻撃者が任意のWebスクリプトをページに注入し、ユーザーがその注入されたページにアクセスした際にスクリプトを実行させることが可能になります。悪用には、管理者による「Feed-to-Post」インポートの設定（攻撃者が制御するフィードURLを指すように設定）と、「Run Now」アクションまたはセットアップウィザードを通じたインポートの実行が必要であり、これはプラグインの標準的な構成フローです。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.