CVE-2025-59590
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Media Library Assistant do WordPressa zawiera podatność na ataki typu Stored XSS. Brak odpowiedniego neutralizowania danych wejściowych podczas generowania stron internetowych umożliwia trwałe wstrzyknięcie złośliwego skryptu.
Ocena ryzyka
Złośliwy skrypt może zostać zapisany na serwerze i wykonywany przy każdym wyświetleniu strony, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę Media Library Assistant do najnowszej dostępnej wersji, która zawiera poprawkę tej podatności.
Inne podatności w Media Library Assistant
Zobacz wszystkie- CVE-2026-97293Wysokie
Podatność na iniekcję SQL w wtyczce Media Library Assistant w wersjach do 3.41, wykorzystywana przez użytkowników z rolą Contributor.
- CVE-2026-66601Średnie
Media Library Assistant w wersjach do 3.39 zawiera podatność na Cross Site Scripting (XSS) wykorzystywaną przez subskrybentów.
- CVE-2026-66600Krytyczne
Podatność na dowolne przesyłanie plików przez autora w wtyczce Media Library Assistant w wersjach do 3.39. Użytkownik z rolą autora może przesłać złośliwe pliki.
- CVE-2026-95609Wysokie
Podatność Stored XSS w wtyczce Media Library Assistant. Dotyczy wersji od n/a do 3.41.
- CVE-2026-97294Średnie
Podatność typu Stored XSS w wtyczce Media Library Assistant autorstwa Davida Lingrena. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia trwałe wykonanie złośliwego skryptu w przeglądarce ofiary.
- CVE-2026-6642Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez mechanizm eksportu/importu presetów masowej edycji. Z powodu niewystarczającego escapowania wartości pól presetów w kontekstach atrybutów HTML, uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć złośliwe skrypty, które wykonają się, gdy administrator zaimportuje zatruty preset i pole otrzyma fokus.
- CVE-2026-6641Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez shortcode 'mla_gallery'. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych parametru mla_link_href, uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć złośliwe skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-6640Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez parametr 'mla_link_attributes' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć złośliwe skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-16959Średnie
Wtyczka Media Library Assistant dla WordPressa przed wersją 3.40 nie waliduje parametru wyszukiwania przed użyciem go w zapytaniu SQL w jednym z handlerów zapytań biblioteki multimediów, co pozwala użytkownikom z rolą Autor na wstrzyknięcie SQL.
- CVE-2026-66591Średnie
Podatność typu Stored XSS (Cross-site Scripting) w wtyczce Media Library Assistant autorstwa Davida Lingrena. Problem dotyczy wersji od n/a do 3.39.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in David Lingren Media LIbrary Assistant media-library-assistant allows Stored XSS.This issue affects Media LIbrary Assistant: from n/a through <= 3.28.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS