CVE-2026-110530 in FeedWordPress Plugin
Sumário
de VulDB • 31/10/2026
O plugin FeedWordPress para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) nas versões até, e incluindo, 2026.0517, por meio de conteúdo de feed RSS/Atom syndicated. A função SyndicatedPost::sanitize_content() do plugin remove apenas o atributo 'target' (as linhas que removeriam os atributos de manipulador de eventos 'style' e 'on[a-z]+' estão comentadas), e a função SyndicatedPost::insert_post() remove deliberadamente os filtros wp_filter_kses e wp_filter_post_post do WordPress de content_save_pre antes de persistir os itens importados dos feeds via wp_insert_post(). Isso permite que atacantes não autenticados, que controlam um feed externo ao qual o site já está inscrito, injetem scripts web arbitrários em páginas que serão executadas sempre que um usuário acessar uma página injetada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.