PT-2026-134484
CVE-2026-110530
·
Publicado
2026-10-30
·
Atualizado
2026-11-01
Descrição por
CVSS 3.1
7.2
AltaMétricasAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas
FeedWordPress versões anteriores a 2026.0518
Description
Ocorre Cross-Site Scripting Armazenado via conteúdo de feeds RSS/Atom sindicados. A função
SyndicatedPost::sanitize content() não remove os atributos style e manipuladores de evento on[a-z]+. Além disso, a função SyndicatedPost::insert post() remove os filtros wp filter kses e wp filter post kses de content save pre antes de persistir os itens do feed importados. Isso permite que invasores não autenticados que controlam um feed externo injetem scripts web arbitrários que serão executados sempre que um usuário acessar a página afetada.Recommendations
Atualize o FeedWordPress para uma versão posterior a 2026.0517.
Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾