CVE-2026-16775

Wtyczka Smash Balloon Social Post Feed – Simple Social Feeds dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez wiadomość komentarza Facebooka w podglądzie Admin Builder przy użyciu v-html we wszystkich wersjach do 4.13.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy administrator odwiedzi stronę podglądu feedu. Atak wymaga jedynie konta na Facebooku do opublikowania komentarza na połączonej stronie Facebooka, bez potrzeby posiadania danych logowania do WordPressa; dodatkowo użycie v-show zamiast v-if powoduje, że wstrzyknięty HTML – w tym handlery onerror – jest oceniany w DOM nawet gdy sekcja komentarzy nie jest widoczna. W połączeniu z brakiem walidacji URL w handlerze AJAX cff_install_addon (admin/addon-functions.php), wstrzyknięty skrypt działający w sesji administratora może wywołać instalację dowolnej wtyczki z adresu URL kontrolowanego przez atakującego, co może prowadzić do wykonania kodu po stronie serwera.

Wtyczka Smash Balloon Social Post Feed firmy Syed Balkhi cierpi na brak autoryzacji (Missing Authorization) w wersjach od n/a do 4.3.2 włącznie. Luka ta pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.