CVE-2026-66601
ŚrednieCVSS 6.5Streszczenie
Media Library Assistant w wersjach do 3.39 zawiera podatność na Cross Site Scripting (XSS) wykorzystywaną przez subskrybentów.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację Media Library Assistant do najnowszej wersji oraz wdrożenie filtrów wejściowych i wyjściowych w celu zapobiegania XSS.
Inne podatności w Media Library Assistant
Zobacz wszystkie- CVE-2026-97293Wysokie
Podatność na iniekcję SQL w wtyczce Media Library Assistant w wersjach do 3.41, wykorzystywana przez użytkowników z rolą Contributor.
- CVE-2026-66600Krytyczne
Podatność na dowolne przesyłanie plików przez autora w wtyczce Media Library Assistant w wersjach do 3.39. Użytkownik z rolą autora może przesłać złośliwe pliki.
- CVE-2026-95609Wysokie
Podatność Stored XSS w wtyczce Media Library Assistant. Dotyczy wersji od n/a do 3.41.
- CVE-2026-97294Średnie
Podatność typu Stored XSS w wtyczce Media Library Assistant autorstwa Davida Lingrena. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia trwałe wykonanie złośliwego skryptu w przeglądarce ofiary.
- CVE-2026-6642Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez mechanizm eksportu/importu presetów masowej edycji. Z powodu niewystarczającego escapowania wartości pól presetów w kontekstach atrybutów HTML, uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć złośliwe skrypty, które wykonają się, gdy administrator zaimportuje zatruty preset i pole otrzyma fokus.
- CVE-2026-6641Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez shortcode 'mla_gallery'. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych parametru mla_link_href, uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć złośliwe skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-6640Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez parametr 'mla_link_attributes' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć złośliwe skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-16959Średnie
Wtyczka Media Library Assistant dla WordPressa przed wersją 3.40 nie waliduje parametru wyszukiwania przed użyciem go w zapytaniu SQL w jednym z handlerów zapytań biblioteki multimediów, co pozwala użytkownikom z rolą Autor na wstrzyknięcie SQL.
- CVE-2026-66591Średnie
Podatność typu Stored XSS (Cross-site Scripting) w wtyczce Media Library Assistant autorstwa Davida Lingrena. Problem dotyczy wersji od n/a do 3.39.
- CVE-2026-61963Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Media Library Assistant w wersjach do 3.38 włącznie.
Oryginalny opis (angielski, źródło NVD)
Subscriber Cross Site Scripting (XSS) in Media LIbrary Assistant <= 3.39 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS