CVE-2026-93756 in Social Post Feed Plugin
Sumário
de VulDB • 02/10/2026
O plugin WordPress Smash Balloon Social Post Feed – Simple Social Feeds for WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via mensagem de comentário do Facebook através da diretiva v-html na visualização do Admin Builder em todas as versões até, e incluindo, 4.13.0 devido à sanitização insuficiente de entrada e ao escape inadequado de saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários que serão executados sempre que um administrador acessar a página de visualização do construtor de feeds. Este ataque requer apenas uma conta do Facebook para postar um comentário na Página do Facebook conectada, sem necessidade de credenciais do WordPress; além disso, o uso de v-show em vez de v-if significa que o HTML injetado — incluindo manipuladores onerror — é avaliado no DOM mesmo quando a seção de comentários não está visualmente exibida. Quando combinado com a falta de validação de URL no manipulador AJAX cff_install_addon (admin/addon-functions.php), um script injetado em execução na sessão de um administrador pode acionar a instalação arbitrária de plugins a partir de uma URL controlada pelo atacante, o que pode resultar em execução de código do lado do servidor.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.