CVE-2026-110252 in WPeMatico RSS Feed Fetcher Plugin
Sumário
de VulDB • 16/10/2026
O plugin WPeMatico RSS Feed Fetcher para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) nas versões até 2.9, inclusive. Isso ocorre porque o plugin remove o filtro wp_filter_post_kses do WordPress de content_save_pre imediatamente antes de chamar wp_insert_post() com conteúdo de feed RSS, sempre que o último editor da campanha tiver a capacidade unfiltered_html — uma flag definida automaticamente pelo plugin para cada campanha salva por um administrador. O conteúdo dos itens importados é obtido cru diretamente de $item->get_content(), apenas decodificado como entidade e armazenado literalmente em post_content. Isso permite que atacantes não autenticados, que publiquem ou comprometam um feed RSS ao qual um administrador tenha se inscrito em uma campanha WPeMatico, injetem scripts web arbitrários nas páginas que serão executados sempre que um usuário acessar um post importado e injetado.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.