CVE-2022-50949WordPress插件Videos sync PDF 1.7.4版本存在存储型跨站脚本（XSS）漏洞。由于插件对mov、pdf、mp4等参数缺乏充分的过滤清洗，经过身份验证的攻击者可在插件选项面板中注入恶意脚本载荷（如autofocus onfocus事件）。当管理员查看或编辑相关视频设置时，这些恶意脚本将被触发并执行，导致攻击者可窃取管理员凭证或执行任意操作。
该漏洞的核心成因在于WordPress插件“Videos sync PDF”在1.7.4及之前版本中，未对其管理后台选项面板中的多媒体文件参数（包括mov、pdf、mp4、webm、ogg）实施有效的输入验证和输出编码。这允许经过身份验证的攻击者（权限要求为低）利用这些未经过滤的输入点，将恶意的HTML标签及JavaScript代码注入到数据库中。具体利用方式为构造包含事件处理器的载荷，例如在字段值中插入`" autofocus onfocus="alert(1)`。当拥有高权限的管理员用户随后浏览该插件的视频设置页面或编辑相关配置时，服务器会将存储的恶意数据渲染到网页中。浏览器解析该HTML时，由于满足触发条件（如自动聚焦），即会执行攻击者预设的JavaScript脚本。这种存储型XSS攻击不仅持久化，而且针对管理员，危害较大，可能导致会话劫持、恶意插件安装或网站被完全接管。