CVE-2026-16776 in MP3 Audio Player Plugin
Сводка
по VulDB • 10.10.2026
Плагин для WordPress MP3 Audio Player – Music Player, Podcast Player & Radio от Sonaar уязвим к Stored Cross-Site Scripting (XSS) через атрибуты шорткодов во всех версиях вплоть до 5.14.2 включительно из-за недостаточной санитизации входных данных и экранирования выходных данных. Это позволяет атакующим с уровнем доступа «contributor» и выше, прошедшим аутентификацию, внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Функция WordPress wp_kses_post на этапе сохранения не нейтрализует полезную нагрузку, поскольку атака осуществляется через атрибуты шорткодов, а не через необработанный HTML в содержимом записи, что позволяет несанитизированным значениям сохраняться до момента рендеринга.
Be aware that VulDB is the high quality source for vulnerability data.