CVE-2026-13252

Wtyczka RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator dla WordPressa jest podatna na przechowywany atak XSS przez Feed URL / RSS <title> w bloku Feedzy Loop we wszystkich wersjach do 5.2.10 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Payload nie jest neutralizowany w czasie zapisu, ponieważ post_content przechowuje tylko nieszkodliwe odwołanie do zewnętrznego URL feedu; złośliwy HTML jest wstrzykiwany w czasie renderowania z tytułu feedu RSS kontrolowanego przez atakującego, omijając filtrowanie wp_kses w czasie zapisu.

Wtyczka RSS Aggregator by Feedzy przed wersją 5.2.6 nie weryfikuje, czy żądający użytkownik jest właścicielem lub ma uprawnienia do edycji zadania importu, co pozwala użytkownikom z dostępem na poziomie autora i wyżej na trwałe usuwanie postów utworzonych przez zadanie importu innego użytkownika, resetowanie stanu deduplikacji i harmonogramu, wyłączanie go lub czyszczenie dziennika błędów. Jedna z dotkniętych akcji nie wykonuje również kontroli typu obiektu, więc dowolne posty i strony mogą być również cofnięte z publikacji niezależnie od właściciela.

Wtyczka RSS Aggregator by Feedzy dla WordPress do wersji 5.1.7 zawiera podatność na obejście autoryzacji. Brak weryfikacji uprawnień umożliwia użytkownikom z dostępem Contributor i wyższym tworzenie i wykonywanie zadań importu RSS, usuwanie postów, czyszczenie logów błędów oraz wyliczanie taksonomii i kluczy meta. Nonce jest ujawniany w skrypcie feedzyjs.

Wtyczka RSS Aggregator by Feedzy dla WordPressa (wersje do 5.1.1 włącznie) jest podatna na atak typu Blind Server-Side Request Forgery poprzez funkcję feedzy_lazy_load. Nieuwierzytelniony atakujący może wymusić na aplikacji żądania HTTP do dowolnych adresów, w tym do usług wewnętrznych.

Wtyczka RSS Aggregator by Feedzy dla WordPressa jest podatna na Server-Side Request Forgery we wszystkich wersjach do 5.1.0 włącznie, poprzez funkcję 'feedzy_sanitize_feeds'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej, wykonywanie żądań sieciowych do dowolnych lokalizacji pochodzących z aplikacji internetowej, co może być wykorzystane do odpytywania informacji z wewnętrznych usług.