CVE-2026-6642
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez mechanizm eksportu/importu presetów masowej edycji. Z powodu niewystarczającego escapowania wartości pól presetów w kontekstach atrybutów HTML, uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć złośliwe skrypty, które wykonają się, gdy administrator zaimportuje zatruty preset i pole otrzyma fokus.
Ocena ryzyka
Atakujący z kontem Author może wstrzyknąć skrypty do witryny, które wykonają się w przeglądarce administratora, umożliwiając przejęcie sesji lub wykonanie działań z uprawnieniami administratora.
Rekomendacja
Zaktualizuj wtyczkę Media Library Assistant do wersji nowszej niż 3.35 i ogranicz liczbę kont z uprawnieniami Author oraz wyższymi.
Inne podatności w Media Library Assistant
Zobacz wszystkie- CVE-2026-66601Średnie
Media Library Assistant w wersjach do 3.39 zawiera podatność na Cross Site Scripting (XSS) wykorzystywaną przez subskrybentów.
- CVE-2026-66600Krytyczne
Podatność na dowolne przesyłanie plików przez autora w wtyczce Media Library Assistant w wersjach do 3.39. Użytkownik z rolą autora może przesłać złośliwe pliki.
- CVE-2026-6641Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez shortcode 'mla_gallery'. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych parametru mla_link_href, uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć złośliwe skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-6640Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez parametr 'mla_link_attributes' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć złośliwe skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-16959Średnie
Wtyczka Media Library Assistant dla WordPressa przed wersją 3.40 nie waliduje parametru wyszukiwania przed użyciem go w zapytaniu SQL w jednym z handlerów zapytań biblioteki multimediów, co pozwala użytkownikom z rolą Autor na wstrzyknięcie SQL.
- CVE-2026-66591Średnie
Podatność typu Stored XSS (Cross-site Scripting) w wtyczce Media Library Assistant autorstwa Davida Lingrena. Problem dotyczy wersji od n/a do 3.39.
- CVE-2026-61963Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Media Library Assistant w wersjach do 3.38 włącznie.
- CVE-2026-54198Wysokie
W wersjach Media Library Assistant do 3.35 zidentyfikowano podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
- CVE-2026-6075Wysokie
Wtyczka Media Library Assistant dla WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) w wersjach do 3.35 włącznie. Brak weryfikacji nonce w procedurach obsługi akcji masowych w zakładce ustawień umożliwia nieuwierzytelnionemu atakującemu nakłonienie administratora do wykonania niechcianych operacji masowego usuwania, edycji lub czyszczenia ustawień wtyczki i metadanych załączników poprzez sfałszowane żądanie.
Oryginalny opis (angielski, źródło NVD)
The Media Library Assistant plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the bulk edit preset export/import mechanism in versions up to and including 3.35. This is due to insufficient output escaping on preset field values when they are rendered in HTML attribute contexts in the mla_generate_bulk_edit_form_fieldsets() function and mla-bulk-edit-fieldsets.tpl template. While wp_kses() filtering is applied during preset export for users without unfiltered_html capability, this does not prevent attribute injection attacks since the malicious payload consists of quotes and HTML attributes rather than HTML tags. When preset values are retrieved and rendered, they are directly assigned to template variables without esc_attr() escaping and then inserted into input element value attributes via simple string replacement. This makes it possible for authenticated attackers, with Author-level access and above (upload_files capability), to inject arbitrary web scripts that execute when an administrator imports the poisoned preset and the targeted input field receives focus.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS