CVE-2026-120035 Cross-site scripting almacenado no autenticado en RSS Aggregator by Feedzy hasta 5.2.13 por el título de…
El parámetro item_title, tomado del título de los ítems del feed, no se sanea ni se escapa correctamente, lo que permite a atacantes no autenticados inyectar scripts web arbitrarios que se ejecutan al acceder a la página. Requiere que un administrador haya configurado previamente una importación Feed-to-Post apuntando a un feed controlado por el atacante.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
themeisle RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator
hasta 5.2.13
Qué hacer
- Verificá si usás RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.4 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'item_title (parsed from feed <item><title>)' parameter in all versions up to, and including, 5.2.13 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires an administrator to have previously configured a Feed-to-Post import pointing at an attacker-controlled feed URL, after which the attacker can rotate payloads at will without any further interaction with the site.
Referencias (6)
- www.wordfence.com/threat-intel/vulnerabilities/id/f29b799a-b9cc-4e0e-b9ae-6ede5449986b?so…
- plugins.trac.wordpress.org/browser/feedzy-rss-feeds/tags/5.2.13/includes/admin/feedzy-rss…
- plugins.trac.wordpress.org/browser/feedzy-rss-feeds/tags/5.2.13/includes/admin/feedzy-rss…
- plugins.trac.wordpress.org/browser/feedzy-rss-feeds/tags/5.2.13/includes/admin/feedzy-rss…
- plugins.trac.wordpress.org/browser/feedzy-rss-feeds/tags/5.2.13/includes/abstract/feedzy-…
- plugins.trac.wordpress.org/browser/feedzy-rss-feeds/tags/5.2.14
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.