CVE-2026-119496
ŚrednieCVSS 5.3Streszczenie
Wtyczka Media Library Assistant (do wersji 3.43) ma podatność podstawowego XSS z powodu niewłaściwej neutralizacji tagów HTML związanych ze skryptami. Może to umożliwić wstrzyknięcie kodu.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod, który zostanie wykonany w przeglądarce użytkownika, co może prowadzić do przejęcia sesji lub modyfikacji strony.
Rekomendacja
Zaktualizuj wtyczkę Media Library Assistant do najnowszej wersji. Sprawdź, czy nie ma nieautoryzowanych zmian w bibliotece mediów.
Inne podatności w Media Library Assistant
Zobacz wszystkie- CVE-2026-115948Wysokie
Wtyczka WordPress Media Library Assistant w wersjach do 3.42 zawiera podatność SQL Injection wynikającą z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wykonanie ślepych zapytań SQL.
- CVE-2026-115594Średnie
Wtyczka Media Library Assistant do wersji 3.42 zawiera podatność polegającą na umieszczaniu wrażliwych informacji w wysyłanych danych, co umożliwia odzyskanie osadzonych danych wrażliwych.
- CVE-2026-97295Średnie
Wtyczka Media Library Assistant do WordPressa zawiera podatność Cross-Site Request Forgery (CSRF). Problem dotyczy wersji do 3.42 włącznie.
- CVE-2026-97293Wysokie
Podatność na iniekcję SQL w wtyczce Media Library Assistant w wersjach do 3.41, wykorzystywana przez użytkowników z rolą Contributor.
- CVE-2026-66601Średnie
Media Library Assistant w wersjach do 3.39 zawiera podatność na Cross Site Scripting (XSS) wykorzystywaną przez subskrybentów.
- CVE-2026-66600Krytyczne
Podatność na dowolne przesyłanie plików przez autora w wtyczce Media Library Assistant w wersjach do 3.39. Użytkownik z rolą autora może przesłać złośliwe pliki.
- CVE-2026-119491Średnie
Wtyczka Media Library Assistant dla WordPressa (do wersji 3.43) ma brakującą autoryzację, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-118095Średnie
Wtyczka Media Library Assistant do WordPressa (do wersji 3.42) jest podatna na ataki typu DOM-Based Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Luka pozwala na wstrzyknięcie złośliwego skryptu, który zostanie wykonany w przeglądarce użytkownika.
- CVE-2026-103875Średnie
Wtyczka Media Library Assistant dla WordPressa jest podatna na odbity XSS poprzez parametr 'search-string' we wszystkich wersjach do 3.42 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, jeśli uda mu się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku. Wykorzystanie wymaga publicznie dostępnej strony zawierającej shortcode [mla_gallery] z skonfigurowanym trybem paginacji i szablonem mla_link_href odzwierciedlającym token {+request:...+} oraz odpowiedniej liczby załączników do wywołania paginacji.
- CVE-2026-95609Wysokie
Podatność Stored XSS w wtyczce Media Library Assistant. Dotyczy wersji od n/a do 3.41.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS) vulnerability in David Lingren Media LIbrary Assistant media-library-assistant allows Code Injection.This issue affects Media LIbrary Assistant: from n/a through 3.43.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS