CVE-2026-6177: XSS in Custom Twitter Feeds WordPress Plugin
Plattform
wordpress
Komponente
custom-twitter-feeds
Behoben in
2.5.5
CVE-2026-6177 is a stored Cross-Site Scripting (XSS) vulnerability affecting the Custom Twitter Feeds WordPress plugin. This vulnerability allows unauthenticated attackers to inject malicious scripts into cached tweet data, which are then executed in the browsers of other users. Versions of the plugin up to 2.5.4 are vulnerable, and a fix is available in version 2.5.5.
Erkenne diese CVE in deinem Projekt
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Auswirkungen und Angriffsszenarien
An attacker exploiting this XSS vulnerability can execute arbitrary JavaScript code in the context of a victim's browser. This can lead to various malicious actions, including stealing cookies and session tokens, redirecting users to phishing sites, defacing the website, or injecting malware. The ctfgetmore_posts AJAX action, accessible to unauthenticated users, is the primary attack vector. The lack of proper HTML escaping of cached tweet data via nl2br() makes it possible to inject malicious code. Successful exploitation could compromise user accounts and potentially lead to complete website takeover.
Ausnutzungskontext
CVE-2026-6177 was published on 2026-05-13. No public exploits or active campaigns have been reported at the time of writing. The vulnerability's severity is rated HIGH (CVSS 7.2). It is not currently listed on KEV or EPSS, indicating a low to medium probability of exploitation. Monitor security advisories and threat intelligence feeds for any updates.
Bedrohungsanalyse
Exploit-Status
CISA SSVC
CVSS-Vektor
Was bedeuten diese Metriken?
- Attack Vector
- Netzwerk — aus der Ferne über das Internet ausnutzbar. Kein physischer oder lokaler Zugriff erforderlich.
- Attack Complexity
- Niedrig — keine besonderen Bedingungen erforderlich. Zuverlässig ausnutzbar.
- Privileges Required
- Keine — ohne Authentifizierung ausnutzbar. Keine Zugangsdaten erforderlich.
- User Interaction
- Keine — automatischer und lautloser Angriff. Das Opfer tut nichts.
- Scope
- Geändert — Angriff kann über die anfällige Komponente hinaus auf andere Systeme übergreifen.
- Confidentiality
- Niedrig — partieller oder indirekter Zugriff auf einige Daten.
- Integrity
- Niedrig — Angreifer kann einige Daten mit begrenztem Umfang ändern.
- Availability
- Keine — kein Verfügbarkeitseinfluss.
Betroffene Software
Schwachstellen-Klassifikation (CWE)
Zeitleiste
- Reserviert
- Veröffentlicht
Mitigation und Workarounds
The primary mitigation for CVE-2026-6177 is to immediately upgrade the Custom Twitter Feeds plugin to version 2.5.5 or later. If upgrading is not immediately feasible, consider implementing a Web Application Firewall (WAF) rule to filter potentially malicious input in the ctfgetmoreposts AJAX action. Carefully review any cached tweet data for suspicious content. While not a complete solution, disabling the plugin temporarily can reduce the immediate risk. After upgrading, confirm the vulnerability is resolved by attempting to inject a simple JavaScript payload through the ctfgetmoreposts AJAX action and verifying that it is not executed.
So beheben
Aktualisieren Sie auf Version 2.5.5 oder eine neuere gepatchte Version
Häufig gestellte Fragen
What is CVE-2026-6177 — XSS in Custom Twitter Feeds WordPress Plugin?
CVE-2026-6177 is a stored Cross-Site Scripting (XSS) vulnerability in the Custom Twitter Feeds WordPress plugin, affecting versions up to 2.5.4. It allows attackers to inject malicious scripts via cached tweet data.
Am I affected by CVE-2026-6177 in Custom Twitter Feeds WordPress Plugin?
You are affected if you are using the Custom Twitter Feeds WordPress plugin in versions 1.0.0 through 2.5.4. Check your plugin version and upgrade immediately if vulnerable.
How do I fix CVE-2026-6177 in Custom Twitter Feeds WordPress Plugin?
Upgrade the Custom Twitter Feeds plugin to version 2.5.5 or later. Consider implementing a WAF rule to filter malicious input as a temporary workaround.
Is CVE-2026-6177 being actively exploited?
As of the current assessment, CVE-2026-6177 is not known to be actively exploited, but it remains a significant risk due to its ease of exploitation.
Where can I find the official Custom Twitter Feeds advisory for CVE-2026-6177?
Refer to the plugin developer's website or WordPress plugin repository for the latest advisory and update information regarding CVE-2026-6177.
Ist dein Projekt betroffen?
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Erkenne diese CVE in deinem Projekt
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Scannen Sie jetzt Ihr WordPress-Projekt – kein Konto
Laden Sie ein Manifest hoch (composer.lock, package-lock.json, WordPress Plugin-Liste…) oder fügen Sie Ihre Komponentenliste ein. Sie erhalten sofort einen Schwachstellenbericht. Das Hochladen einer Datei ist nur der Anfang: Mit einem Konto erhalten Sie kontinuierliche Überwachung, Slack/email-Benachrichtigungen, Multi-Projekt- und White-Label-Berichte.
Abhängigkeitsdatei hier ablegen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...