CVE-2026-13252
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka RSS Aggregator by Feedzy dla WordPress do wersji 5.2.1 włącznie zawiera podatność na trwałe ataki XSS przez atrybut 'aspectRatio'. Brak odpowiedniej sanitizacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonują się przy każdym dostępie do zainfekowanej strony.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad sesjami użytkowników, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania w obrębie witryny WordPress, co może prowadzić do utraty zaufania i naruszenia integralności treści.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki RSS Aggregator by Feedzy do najnowszej dostępnej wersji, która usuwa tę podatność, oraz ograniczenie uprawnień użytkowników do niezbędnego minimum.
Inne podatności w RSS Aggregator by Feedzy
Zobacz wszystkie- CVE-2026-18934Średnie
Wtyczka RSS Aggregator by Feedzy przed wersją 5.2.6 nie weryfikuje, czy żądający użytkownik jest właścicielem lub ma uprawnienia do edycji zadania importu, co pozwala użytkownikom z dostępem na poziomie autora i wyżej na trwałe usuwanie postów utworzonych przez zadanie importu innego użytkownika, resetowanie stanu deduplikacji i harmonogramu, wyłączanie go lub czyszczenie dziennika błędów. Jedna z dotkniętych akcji nie wykonuje również kontroli typu obiektu, więc dowolne posty i strony mogą być również cofnięte z publikacji niezależnie od właściciela.
- CVE-2026-8976Średnie
Wtyczka RSS Aggregator by Feedzy dla WordPress do wersji 5.1.7 zawiera podatność na obejście autoryzacji. Brak weryfikacji uprawnień umożliwia użytkownikom z dostępem Contributor i wyższym tworzenie i wykonywanie zadań importu RSS, usuwanie postów, czyszczenie logów błędów oraz wyliczanie taksonomii i kluczy meta. Nonce jest ujawniany w skrypcie feedzyjs.
Oryginalny opis (angielski, źródło NVD)
The RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'aspectRatio' Attribute in all versions up to, and including, 5.2.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.