CVE-2026-16776 in MP3 Audio Player Plugin
الملخص
بحسب VulDB • 10/10/2026
يوجد ثغرة من نوع Stored Cross-Site Scripting (XSS) في إضافة WordPress "MP3 Audio Player – Music Player, Podcast Player & Radio" الخاصة بـ Sonaar عبر سمات Shortcode في جميع الإصدارات حتى 5.14.2 وشاملة لها، بسبب عدم كفاية تنقية المدخلات وإخفاء المخرجات. وهذا يمكّن المهاجمين الذين تمت مصادقتهم ولديهم وصول بمستوى "مساهم" (contributor) فأعلى من حقن نصوص برمجية ويب تعسفية في الصفحات التي ستُنفَّذ كلما قام مستخدم بالوصول إلى صفحة مُحقونة. لا تقوم وظيفة wp_kses_post الخاصة بـ WordPress عند الحفظ بتحييد الحمولة الهجومية لأن الهجوم يُقدَّم عبر سمات Shortcode بدلاً من HTML خام في محتوى المنشور، مما يسمح للقيم غير المُهذَّبة (unescaped) بالبقاء حتى وقت العرض (render time).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.