CVE-2025-11128
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka RSS Aggregator by Feedzy dla WordPressa jest podatna na Server-Side Request Forgery we wszystkich wersjach do 5.1.0 włącznie, poprzez funkcję 'feedzy_sanitize_feeds'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej, wykonywanie żądań sieciowych do dowolnych lokalizacji pochodzących z aplikacji internetowej, co może być wykorzystane do odpytywania informacji z wewnętrznych usług.
Ocena ryzyka
Ryzyko polega na możliwości wykorzystania serwera jako proxy do ataków na wewnętrzne usługi, co może prowadzić do ujawnienia wrażliwych informacji lub dalszych ataków w sieci wewnętrznej.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, która zawiera poprawkę. Należy również ograniczyć dostęp do wtyczki tylko dla zaufanych użytkowników.
Inne podatności w RSS Aggregator by Feedzy
Zobacz wszystkie- CVE-2026-18934Średnie
Wtyczka RSS Aggregator by Feedzy przed wersją 5.2.6 nie weryfikuje, czy żądający użytkownik jest właścicielem lub ma uprawnienia do edycji zadania importu, co pozwala użytkownikom z dostępem na poziomie autora i wyżej na trwałe usuwanie postów utworzonych przez zadanie importu innego użytkownika, resetowanie stanu deduplikacji i harmonogramu, wyłączanie go lub czyszczenie dziennika błędów. Jedna z dotkniętych akcji nie wykonuje również kontroli typu obiektu, więc dowolne posty i strony mogą być również cofnięte z publikacji niezależnie od właściciela.
- CVE-2026-13252Średnie
Wtyczka RSS Aggregator by Feedzy dla WordPress do wersji 5.2.1 włącznie zawiera podatność na trwałe ataki XSS przez atrybut 'aspectRatio'. Brak odpowiedniej sanitizacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonują się przy każdym dostępie do zainfekowanej strony.
- CVE-2026-8976Średnie
Wtyczka RSS Aggregator by Feedzy dla WordPress do wersji 5.1.7 zawiera podatność na obejście autoryzacji. Brak weryfikacji uprawnień umożliwia użytkownikom z dostępem Contributor i wyższym tworzenie i wykonywanie zadań importu RSS, usuwanie postów, czyszczenie logów błędów oraz wyliczanie taksonomii i kluczy meta. Nonce jest ujawniany w skrypcie feedzyjs.
- CVE-2025-11467Średnie
Wtyczka RSS Aggregator by Feedzy dla WordPressa (wersje do 5.1.1 włącznie) jest podatna na atak typu Blind Server-Side Request Forgery poprzez funkcję feedzy_lazy_load. Nieuwierzytelniony atakujący może wymusić na aplikacji żądania HTTP do dowolnych adresów, w tym do usług wewnętrznych.
Oryginalny opis (angielski, źródło NVD)
The RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 5.1.0 via the 'feedzy_sanitize_feeds' function. This makes it possible for authenticated attackers, with Subscriber-level access and above, to make web requests to arbitrary locations originating from the web application and can be used to query information from internal services.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS