CVE-2025-11467

Wtyczka RSS Aggregator by Feedzy przed wersją 5.2.6 nie weryfikuje, czy żądający użytkownik jest właścicielem lub ma uprawnienia do edycji zadania importu, co pozwala użytkownikom z dostępem na poziomie autora i wyżej na trwałe usuwanie postów utworzonych przez zadanie importu innego użytkownika, resetowanie stanu deduplikacji i harmonogramu, wyłączanie go lub czyszczenie dziennika błędów. Jedna z dotkniętych akcji nie wykonuje również kontroli typu obiektu, więc dowolne posty i strony mogą być również cofnięte z publikacji niezależnie od właściciela.

Wtyczka RSS Aggregator by Feedzy dla WordPress do wersji 5.2.1 włącznie zawiera podatność na trwałe ataki XSS przez atrybut 'aspectRatio'. Brak odpowiedniej sanitizacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonują się przy każdym dostępie do zainfekowanej strony.

Wtyczka RSS Aggregator by Feedzy dla WordPress do wersji 5.1.7 zawiera podatność na obejście autoryzacji. Brak weryfikacji uprawnień umożliwia użytkownikom z dostępem Contributor i wyższym tworzenie i wykonywanie zadań importu RSS, usuwanie postów, czyszczenie logów błędów oraz wyliczanie taksonomii i kluczy meta. Nonce jest ujawniany w skrypcie feedzyjs.

Wtyczka RSS Aggregator by Feedzy dla WordPressa jest podatna na Server-Side Request Forgery we wszystkich wersjach do 5.1.0 włącznie, poprzez funkcję 'feedzy_sanitize_feeds'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej, wykonywanie żądań sieciowych do dowolnych lokalizacji pochodzących z aplikacji internetowej, co może być wykorzystane do odpytywania informacji z wewnętrznych usług.