CVE-2025-49937

Wtyczka Smash Balloon Social Post Feed – Simple Social Feeds dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez wiadomość komentarza Facebooka w podglądzie Admin Builder przy użyciu v-html we wszystkich wersjach do 4.13.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy administrator odwiedzi stronę podglądu feedu. Atak wymaga jedynie konta na Facebooku do opublikowania komentarza na połączonej stronie Facebooka, bez potrzeby posiadania danych logowania do WordPressa; dodatkowo użycie v-show zamiast v-if powoduje, że wstrzyknięty HTML – w tym handlery onerror – jest oceniany w DOM nawet gdy sekcja komentarzy nie jest widoczna. W połączeniu z brakiem walidacji URL w handlerze AJAX cff_install_addon (admin/addon-functions.php), wstrzyknięty skrypt działający w sesji administratora może wywołać instalację dowolnej wtyczki z adresu URL kontrolowanego przez atakującego, co może prowadzić do wykonania kodu po stronie serwera.

Wtyczka Smash Balloon Social Post Feed – Simple Social Feeds dla WordPressa do wersji 4.9.0 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'id' w shortcode. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.