CVE-2026-8976
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka RSS Aggregator by Feedzy dla WordPress do wersji 5.1.7 zawiera podatność na obejście autoryzacji. Brak weryfikacji uprawnień umożliwia użytkownikom z dostępem Contributor i wyższym tworzenie i wykonywanie zadań importu RSS, usuwanie postów, czyszczenie logów błędów oraz wyliczanie taksonomii i kluczy meta. Nonce jest ujawniany w skrypcie feedzyjs.
Ocena ryzyka
Atakujący może wykonywać nieautoryzowane operacje importu i usuwania treści, co może prowadzić do utraty danych, manipulacji treścią i naruszenia integralności witryny.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki RSS Aggregator by Feedzy do najnowszej wersji oraz przegląd uprawnień użytkowników.
Inne podatności w RSS Aggregator by Feedzy
Zobacz wszystkie- CVE-2026-104735Średnie
Wtyczka RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator dla WordPressa jest podatna na przechowywany atak XSS przez Feed URL / RSS <title> w bloku Feedzy Loop we wszystkich wersjach do 5.2.10 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Payload nie jest neutralizowany w czasie zapisu, ponieważ post_content przechowuje tylko nieszkodliwe odwołanie do zewnętrznego URL feedu; złośliwy HTML jest wstrzykiwany w czasie renderowania z tytułu feedu RSS kontrolowanego przez atakującego, omijając filtrowanie wp_kses w czasie zapisu.
- CVE-2026-18934Średnie
Wtyczka RSS Aggregator by Feedzy przed wersją 5.2.6 nie weryfikuje, czy żądający użytkownik jest właścicielem lub ma uprawnienia do edycji zadania importu, co pozwala użytkownikom z dostępem na poziomie autora i wyżej na trwałe usuwanie postów utworzonych przez zadanie importu innego użytkownika, resetowanie stanu deduplikacji i harmonogramu, wyłączanie go lub czyszczenie dziennika błędów. Jedna z dotkniętych akcji nie wykonuje również kontroli typu obiektu, więc dowolne posty i strony mogą być również cofnięte z publikacji niezależnie od właściciela.
- CVE-2026-13252Średnie
Wtyczka RSS Aggregator by Feedzy dla WordPress do wersji 5.2.1 włącznie zawiera podatność na trwałe ataki XSS przez atrybut 'aspectRatio'. Brak odpowiedniej sanitizacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonują się przy każdym dostępie do zainfekowanej strony.
- CVE-2025-11467Średnie
Wtyczka RSS Aggregator by Feedzy dla WordPressa (wersje do 5.1.1 włącznie) jest podatna na atak typu Blind Server-Side Request Forgery poprzez funkcję feedzy_lazy_load. Nieuwierzytelniony atakujący może wymusić na aplikacji żądania HTTP do dowolnych adresów, w tym do usług wewnętrznych.
- CVE-2025-11128Średnie
Wtyczka RSS Aggregator by Feedzy dla WordPressa jest podatna na Server-Side Request Forgery we wszystkich wersjach do 5.1.0 włącznie, poprzez funkcję 'feedzy_sanitize_feeds'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej, wykonywanie żądań sieciowych do dowolnych lokalizacji pochodzących z aplikacji internetowej, co może być wykorzystane do odpytywania informacji z wewnętrznych usług.
Oryginalny opis (angielski, źródło NVD)
The RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 5.1.7. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with contributor-level access and above, to create and execute RSS import jobs, purge (force-delete) all posts associated with any import job, clear import error logs, and enumerate taxonomy terms and post meta_key names. The nonce required to reach these sub-handlers is leaked to any user with the edit_posts capability via the feedzyjs localized script injected into the block editor, meaning no privileged nonce theft or separate exploit step is required for Contributor-level users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS