CVE-2026-97294
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność typu Stored XSS w wtyczce Media Library Assistant autorstwa Davida Lingrena. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia trwałe wykonanie złośliwego skryptu w przeglądarce ofiary.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w kontekście sesji zalogowanego administratora, co może prowadzić do kradzieży danych, przejęcia sesji lub modyfikacji treści strony.
Rekomendacja
Zaktualizuj wtyczkę Media Library Assistant do wersji nowszej niż 3.41, jeśli dostępna jest poprawka. Dodatkowo ogranicz uprawnienia użytkowników mogących wprowadzać treści.
Inne podatności w Media Library Assistant
Zobacz wszystkie- CVE-2026-97293Wysokie
Podatność na iniekcję SQL w wtyczce Media Library Assistant w wersjach do 3.41, wykorzystywana przez użytkowników z rolą Contributor.
- CVE-2026-66601Średnie
Media Library Assistant w wersjach do 3.39 zawiera podatność na Cross Site Scripting (XSS) wykorzystywaną przez subskrybentów.
- CVE-2026-66600Krytyczne
Podatność na dowolne przesyłanie plików przez autora w wtyczce Media Library Assistant w wersjach do 3.39. Użytkownik z rolą autora może przesłać złośliwe pliki.
- CVE-2026-6642Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez mechanizm eksportu/importu presetów masowej edycji. Z powodu niewystarczającego escapowania wartości pól presetów w kontekstach atrybutów HTML, uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć złośliwe skrypty, które wykonają się, gdy administrator zaimportuje zatruty preset i pole otrzyma fokus.
- CVE-2026-6641Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez shortcode 'mla_gallery'. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych parametru mla_link_href, uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć złośliwe skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-6640Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez parametr 'mla_link_attributes' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć złośliwe skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-16959Średnie
Wtyczka Media Library Assistant dla WordPressa przed wersją 3.40 nie waliduje parametru wyszukiwania przed użyciem go w zapytaniu SQL w jednym z handlerów zapytań biblioteki multimediów, co pozwala użytkownikom z rolą Autor na wstrzyknięcie SQL.
- CVE-2026-66591Średnie
Podatność typu Stored XSS (Cross-site Scripting) w wtyczce Media Library Assistant autorstwa Davida Lingrena. Problem dotyczy wersji od n/a do 3.39.
- CVE-2026-61963Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Media Library Assistant w wersjach do 3.38 włącznie.
- CVE-2026-54198Wysokie
W wersjach Media Library Assistant do 3.35 zidentyfikowano podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in David Lingren Media LIbrary Assistant media-library-assistant allows Stored XSS.This issue affects Media LIbrary Assistant: from n/a through 3.41.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS