WordPressプラグイン「RSS Aggregator by Feedzy」にXSSの脆弱性（CVE-2026-110707）

CVSS 4.7 MEDIUM 未ログインで悪用可能

対象	プラグイン RSS Aggregator by Feedzy （RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator）有効インストール約 40,000 件
影響バージョン	5.2.12 以下
修正版	5.2.13
CVE	CVE-2026-110707
種類	XSS（Improper Neutralization of Input During Web Page Generation）
悪用される確率（EPSS）	0.30%（全脆弱性の上位 77%）
公表	2026年10月29日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

Feedzy 5.2.12以前では、取り込んだ外部フィード内の説明文に含まれる不正なスクリプトが無害化されず、投稿として保存される恐れがあります。その投稿を閲覧した訪問者や管理者のブラウザでスクリプトが実行される可能性があります。

想定される被害と条件

信頼できない外部フィードを「Feed to Post」で取り込んだ場合、不正なスクリプトを含む投稿が自動作成される
作成された投稿を閲覧した訪問者が、偽ページへの誘導や不審な広告表示などの被害を受ける
管理者がログイン中に該当ページを開くと、管理者権限で不正な操作（ユーザー追加や設定変更など）が行われる恐れがある
サイトの改ざんにより信用低下や検索エンジンでの警告表示につながる可能性がある

今日やること

RSS Aggregator by Feedzyを5.2.13以上に更新し、未修正の場合は停止・削除を検討してください。

すぐに更新できない場合

更新までは「Feed to Post」の自動取り込み（インポート）を停止し、信頼できない・出所不明のフィードURLを登録しないでください。WAFの導入も有効です。

更新後に確認すること

Feedzyのインポート設定（Feed to Post）に、身に覚えのないフィードURLが登録されていないか確認する
フィードから自動作成された投稿の本文・抜粋に、不審なスクリプトや見覚えのないリンク・埋め込みが含まれていないか確認し、あれば削除する
管理画面の「ユーザー」に不審な管理者アカウントが追加されていないか確認する
サイトのテーマやプラグイン設定、ウィジェットに身に覚えのない変更がないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

RSS Aggregator by Feedzy の現在の情報（WordPress.org、2026-11-02 取得）

最新版	5.2.13 修正版を含む
対応 WordPress	6.0 以上（検証済み 7.1.4）
最終更新	2026-10-19 7:12am GMT
有効インストール	40,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘media:group/media:description (XML element in the imported feed)’ parameter in all versions up to, and including, 5.2.12 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires an administrator to configure a Feed-to-Post import pointing at an attacker-controlled feed URL and trigger the import via the Run Now action or setup wizard, which is the plugin’s standard configuration flow.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/47c7e74e-91cb-4bfa-8c21-c60ca0b8cb47?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。