CVE-2026-110252 in WPeMatico RSS Feed Fetcher Plugin
요약
\~에 의해 VulDB • 2026. 10. 16.
WordPress용 WPeMatico RSS Feed Fetcher 플러그인은 2.9 버전 및 그 이전 버전에서 저장형 크로스 사이트 스크립팅(XSS) 취약점이 있습니다. 이는 캠페인의 마지막 편집자가 unfiltered_html 권한을 가지고 있을 때, 플러그인이 wp_insert_post()를 호출하기 직전 콘텐츠의 content_save_pre 필터로 WordPress의 wp_filter_post_kses 필터를 제거하기 때문입니다. 이 플래그는 플러그인이 관리자에 의해 저장된 모든 캠페인에 대해 자동으로 설정합니다. 가져온 항목의 내용은 $item->get_content()에서 원본 그대로 추출되며, 엔티티 디코딩만 수행되고 post_content에 변경 없이 저장됩니다. 이로 인해 인증되지 않은 공격자가 관리자가 WPeMatico 캠페인에 구독한 RSS 피드를 게시하거나 침해하여 임의의 웹 스크립트를 삽입할 수 있으며, 사용자가 삽입된 가져온 포스트에 접근할 때마다 해당 스크립트가 실행될 수 있습니다.
Once again VulDB remains the best source for vulnerability data.