یک آسیب‌پذیری امنیتی با شناسه CVE-2026-85007 در افزونه Video Player for YouTube برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی به دلیل عدم بررسی صحیح سطح دسترسی (Capability Check) در هندلر AJAX مربوط به player-preset رخ داده است.
جزئیات فنی و سطح دسترسی
در نسخه‌های پیش از 2.1.4، کاربرانی که دارای نقش Contributor (همکار) یا بالاتر باشند، می‌توانند به تنظیمات player-preset در سطح کل سایت دسترسی داشته و آن‌ها را مطالعه کنند. علاوه بر این، در نسخه‌های قدیمی‌تر (پیش از 2.1.1)، این کاربران حتی قادر به تغییر یا حذف این تنظیمات نیز هستند.
سایر نقاط ضعف شناسایی شده
علاوه بر مورد ذکر شده، گزارش‌ها به آسیب‌پذیری‌های دیگری در نسخه‌های قدیمی‌تر این افزونه اشاره دارند:
- SQL Injection: در نسخه‌های پیش از 2.1.0، کاربران احراز هویت شده می‌توانند از طریق تزریق کد SQL به پایگاه داده دسترسی پیدا کنند.
- عدم اعتبارسنجی ورودی‌ها: در نسخه‌های پیش از 1.4، پارامترهای دریافتی از Shortcodeها به درستی پاک‌سازی (Sanitize) یا اعتبارسنجی نمی‌شدند که می‌تواند منجر به حملات تزریق کد شود.
به مدیران سایت‌های وردپرسی توصیه می‌شود برای رفع این موارد، افزونه مذکور را به آخرین نسخه به‌روزرسانی کنند.
