SAPO Feed
SAPO Feed has one disclosed vulnerability in the WordSec catalog, all reported in 2025; it is fixed as of September 2026. Their average CVSS score is 4.4, and the most serious one scores 4.4 out of 10.
The most common weakness is Cross-Site Scripting, behind 1 of the records (100%).
The one issue recorded for SAPO Feed has a vendor fix available, so running the current release closes it.
All of these findings were reported by Vinit Lakra. SAPO Feed is installed on roughly 60 WordPress sites, so each unpatched flaw has a wide blast radius. The current release is tested up to WordPress 6.8.8.
CVE-2025-53462SAPO Feed <= 2.4.2 - Authenticated (Administrator+) Stored Cross-Site Scripting
Read the full analysisVulnerability Records

SAPO Feed
Author
SAPO
Este plugin gera uma feed simples, processando posts publicados no seu site num formato compatível com serviços SAPO. Depois de ativado, a feed completa fica acessível em — por exemplo — https://omeusite.pt/feed/sapo É possível filtrar conteúdo das seguintes formas: Conteúdo de uma categoria: https://omeusite.pt/feed/sapo?category=destaques Conteúdo de múltiplas categorias: https://omeusite.pt/feed/sapo?category=economia,cultura Conteúdo de uma etiqueta: https://omeusite.pt/feed/sapo?tags=governo Conteúdo de múltiplas etiquetas: https://omeusite.pt/feed/sapo?tags=teatro,cinema Um pedido com múltiplas categorias e etiquetas devolve todos os artigos que pertençam a pelo menos uma das categorias e que tenham pelo menos uma das etiquetas pedidas. Há um limite de 20 posts que pode ser alterado através do ecrã de opções. Para autores que necessitem de modificar o conteúdo dos seus artigos antes (ou depois) do processamento efectuado pelo plugin, dois filtros são disponibilizados: sapo_feed_handle_post_content_before: recebe o conteúdo de um post, para ser alterado antes do processamento. sapo_feed_handle_post_content_after: recebe o objecto que representa o post processado, para ser alterado antes da criação da feed, e o objecto original que representa o post.
Vulnerability data © Defiant, Inc., provided under the Wordfence Intelligence T&C