→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-16776 · mp3-music-player-by-sonaar

تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق ویژگی‌های شورت‌کد در افزونه MP3 Audio Player by Sonaar

متوسط plugin CVSS 6.4

افزونه MP3 Audio Player – Music Player, Podcast Player & Radio by Sonaar در همه نسخه‌های تا ۵.۱۴.۲ به‌دلیل پاک‌سازی ناکافی ورودی و فراردهی ناکافی خروجی، در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق ویژگی‌های شورت‌کد آسیب‌پذیر است. مهاجم احرازهویت‌شده با دسترسی سطح مشارکت‌کننده یا بالاتر می‌تواند اسکریپت وب دلخواه را در صفحات تزریق کند تا هنگام بازدید کاربر اجرا شود؛ فیلتر wp_kses_post وردپرس در زمان ذخیره این بار را خنثی نمی‌کند، چون حمله از مسیر ویژگی‌های شورت‌کد انجام می‌شود نه HTML خام محتوا. از آنجا که وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.

نسخه‌های تحت تأثیر

<= 5.14.2

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته mp3-music-player-by-sonaar را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق ویژگی‌های شورت‌کد در افزونه MP3 Audio Player by Sonaar

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر