CVE-2026-8976

WordPress için geliştirilen RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator eklentisi, 5.1.7 sürümü dahil tüm önceki sürümlerde kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, eklentinin bir kullanıcının belirli bir işlemi gerçekleştirmek için yetkili olup olmadığını düzgün şekilde doğrulamamasından kaynaklanmaktadır. Bu durum; katkıda bulunan (contributor) ve üzeri erişime sahip kimliği doğrulanmış saldırganların RSS içe aktarma işleri oluşturup yürütmesine, herhangi bir içe aktarma işiyle ilişkili tüm yazılarını temizlemesine (zorla silmesine), içe aktarma hata günlüklerini temizlemesine, taksonomi terimlerini ve yazı meta_key adlarını listelemesine olanak tanır. Bu alt işlemcilere ulaşmak için gereken nonce değeri, blok düzenleyiciye yerleştirilen feedzyjs yerelleştirilmiş betiği aracılığıyla edit_posts yetkisine sahip her kullanıcıya sızdırılmaktadır; bu da Katkıda Bulunan düzeyindeki kullanıcılar için ayrıcalıklı bir nonce hırsızlığına veya ayrı bir istismar adımına gerek olmadığı anlamına gelir.