CVE-2026-16776 in MP3 Audio Player Plugin
Resumen
por VulDB • 2026-10-10
El plugin para WordPress MP3 Audio Player – Music Player, Podcast Player & Radio de Sonaar es vulnerable a Cross-Site Scripting (XSS) almacenado mediante atributos de Shortcode en todas las versiones hasta la 5.14.2, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes autenticados con permisos de nivel colaborador o superiores inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La función wp_kses_post de WordPress, que se ejecuta al guardar el contenido, no neutraliza la carga útil porque el ataque se realiza mediante atributos de shortcode y no mediante HTML sin procesar en el contenido de la publicación, lo que permite que los valores sin escapar sobrevivan hasta el momento del renderizado.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.