CVE-2026-111967: Stored XSS nel plugin MP3 Audio Player

Stored XSS plugin MP3 Audio Player. Contributor iniettano JS eseguito da admin. Aggiornare alla versione 5.16.

La vulnerabilità CVE-2026-111967 è una falla Stored XSS nel plugin WordPress MP3 Audio Player (versioni < 5.16). Il plugin non escapa correttamente l'attributo dello shortcode audio player prima di inserirlo in un attributo HTML, permettendo agli utenti con accesso di livello Contributor e superiore di iniettare JavaScript arbitrario. Il codice iniettato si attiva quando un altro utente, tipicamente un amministratore, visualizza il contenuto nel quale è stata inserita la falla.

La vulnerabilità è catalogata con CVSS 6,8 (medium), ma il potenziale danno è significativo: poiché il codice iniettato esegue nel contesto dell'amministratore, un attaccante può creare nuovi account admin, rubare token di sessione, o modificare il sito. Il CVE è stato pubblicato il 2026-10-28 da NVD. Segnali pubblici su GitHub (2026-11-08) documentano l'esistenza di repository che dichiarano di contenere proof-of-concept per versioni vulnerabili fino alla 5.14. Non è stato confermato uno sfruttamento attivo in the wild.

I difensori devono aggiornare immediatamente il plugin MP3 Audio Player alla versione 5.16 o successiva. Parallelamente, è essenziale controllare i post e le bozze create da utenti con livello Contributor o superiore alla data del CVE (2026-10-28) per verificare la presenza di JavaScript sospetto negli attributi. Laddove possibile, limitare i permessi di Contributor ai soli utenti che ne hanno effettivo bisogno, per ridurre la superficie di attacco.

In sintesi

Cosa: Vulnerabilità Stored XSS nel plugin WordPress MP3 Audio Player versioni < 5.16. Non vengono escaped gli attributi dello shortcode audio player, permettendo l'iniezione di JavaScript arbitrario che esegue quando amministratori o altri utenti visualizzano il contenuto.
Gravità: CVSS 6,8 (medium). Però l'impatto è potenzialmente critico: il codice iniettato esegue nel contesto dell'amministratore, consentendo la creazione di account admin e il furto di credenziali.
Versioni interessate: Plugin MP3 Audio Player: versioni < 5.16. Segnali pubblici documentano vulnerabilità fino alla versione 5.14.
Correzione: Aggiornare il plugin alla versione 5.16 o successiva. La patch è disponibile dal 2026-10-28 (data di pubblicazione CVE).
Stato: CVE pubblicato il 2026-10-28. Repository pubbliche su GitHub dichiarano la disponibilità di proof-of-concept per versioni ≤ 5.14. Non confermato se sfruttamento attivo in the wild.
Azione: 1) Identificare istanze del plugin in uso. 2) Aggiornare immediatamente a versione 5.16+. 3) Controllare post/bozze create da utenti Contributor per JavaScript sospetto. 4) Limitare i permessi di Contributor se non necessari.

Fonti: NVD, CVE-2026-111967

← Tutti gli articoli