CVE-2026-6641
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez shortcode 'mla_gallery'. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych parametru mla_link_href, uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć złośliwe skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Atakujący z kontem Contributor może umieścić złośliwe skrypty w treściach witryny, które wykonają się w przeglądarkach odwiedzających, w tym administratorów, umożliwiając kradzież sesji lub modyfikację treści.
Rekomendacja
Zaktualizuj wtyczkę Media Library Assistant do wersji nowszej niż 3.35 i przejrzyj istniejące treści pod kątem wstrzykniętych skryptów.
Inne podatności w Media Library Assistant
Zobacz wszystkie- CVE-2026-66601Średnie
Media Library Assistant w wersjach do 3.39 zawiera podatność na Cross Site Scripting (XSS) wykorzystywaną przez subskrybentów.
- CVE-2026-66600Krytyczne
Podatność na dowolne przesyłanie plików przez autora w wtyczce Media Library Assistant w wersjach do 3.39. Użytkownik z rolą autora może przesłać złośliwe pliki.
- CVE-2026-6642Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez mechanizm eksportu/importu presetów masowej edycji. Z powodu niewystarczającego escapowania wartości pól presetów w kontekstach atrybutów HTML, uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć złośliwe skrypty, które wykonają się, gdy administrator zaimportuje zatruty preset i pole otrzyma fokus.
- CVE-2026-6640Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez parametr 'mla_link_attributes' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć złośliwe skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-16959Średnie
Wtyczka Media Library Assistant dla WordPressa przed wersją 3.40 nie waliduje parametru wyszukiwania przed użyciem go w zapytaniu SQL w jednym z handlerów zapytań biblioteki multimediów, co pozwala użytkownikom z rolą Autor na wstrzyknięcie SQL.
- CVE-2026-66591Średnie
Podatność typu Stored XSS (Cross-site Scripting) w wtyczce Media Library Assistant autorstwa Davida Lingrena. Problem dotyczy wersji od n/a do 3.39.
- CVE-2026-61963Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Media Library Assistant w wersjach do 3.38 włącznie.
- CVE-2026-54198Wysokie
W wersjach Media Library Assistant do 3.35 zidentyfikowano podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
- CVE-2026-6075Wysokie
Wtyczka Media Library Assistant dla WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) w wersjach do 3.35 włącznie. Brak weryfikacji nonce w procedurach obsługi akcji masowych w zakładce ustawień umożliwia nieuwierzytelnionemu atakującemu nakłonienie administratora do wykonania niechcianych operacji masowego usuwania, edycji lub czyszczenia ustawień wtyczki i metadanych załączników poprzez sfałszowane żądanie.
Oryginalny opis (angielski, źródło NVD)
The Media Library Assistant plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'mla_gallery' shortcode in versions up to and including 3.35. This is due to insufficient input sanitization and output escaping on the mla_link_href parameter when mla_output is set to 'paginate_links', where the _paginate_links() function processes the value through mla_process_shortcode_parameter() and _replace_query_parameter() without proper URL escaping, then outputs it directly in href attributes without applying esc_url(). This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS