CVE-2026-118095
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Media Library Assistant do WordPressa (do wersji 3.42) jest podatna na ataki typu DOM-Based Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Luka pozwala na wstrzyknięcie złośliwego skryptu, który zostanie wykonany w przeglądarce użytkownika.
Ocena ryzyka
Atakujący może wykorzystać lukę do wykonania dowolnego kodu JavaScript w kontekście przeglądarki ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści strony. Ryzyko dotyczy głównie administratorów i użytkowników mających dostęp do panelu zarządzania mediami.
Rekomendacja
Zaktualizuj wtyczkę Media Library Assistant do najnowszej wersji (powyżej 3.42), która zawiera poprawkę bezpieczeństwa. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki do czasu wdrożenia łatki.
Inne podatności w Media Library Assistant
Zobacz wszystkie- CVE-2026-115948Wysokie
Wtyczka WordPress Media Library Assistant w wersjach do 3.42 zawiera podatność SQL Injection wynikającą z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wykonanie ślepych zapytań SQL.
- CVE-2026-115594Średnie
Wtyczka Media Library Assistant do wersji 3.42 zawiera podatność polegającą na umieszczaniu wrażliwych informacji w wysyłanych danych, co umożliwia odzyskanie osadzonych danych wrażliwych.
- CVE-2026-97295Średnie
Wtyczka Media Library Assistant do WordPressa zawiera podatność Cross-Site Request Forgery (CSRF). Problem dotyczy wersji do 3.42 włącznie.
- CVE-2026-97293Wysokie
Podatność na iniekcję SQL w wtyczce Media Library Assistant w wersjach do 3.41, wykorzystywana przez użytkowników z rolą Contributor.
- CVE-2026-66601Średnie
Media Library Assistant w wersjach do 3.39 zawiera podatność na Cross Site Scripting (XSS) wykorzystywaną przez subskrybentów.
- CVE-2026-66600Krytyczne
Podatność na dowolne przesyłanie plików przez autora w wtyczce Media Library Assistant w wersjach do 3.39. Użytkownik z rolą autora może przesłać złośliwe pliki.
- CVE-2026-103875Średnie
Wtyczka Media Library Assistant dla WordPressa jest podatna na odbity XSS poprzez parametr 'search-string' we wszystkich wersjach do 3.42 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, jeśli uda mu się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku. Wykorzystanie wymaga publicznie dostępnej strony zawierającej shortcode [mla_gallery] z skonfigurowanym trybem paginacji i szablonem mla_link_href odzwierciedlającym token {+request:...+} oraz odpowiedniej liczby załączników do wywołania paginacji.
- CVE-2026-95609Wysokie
Podatność Stored XSS w wtyczce Media Library Assistant. Dotyczy wersji od n/a do 3.41.
- CVE-2026-97294Średnie
Podatność typu Stored XSS w wtyczce Media Library Assistant autorstwa Davida Lingrena. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia trwałe wykonanie złośliwego skryptu w przeglądarce ofiary.
- CVE-2026-6642Średnie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez mechanizm eksportu/importu presetów masowej edycji. Z powodu niewystarczającego escapowania wartości pól presetów w kontekstach atrybutów HTML, uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć złośliwe skrypty, które wykonają się, gdy administrator zaimportuje zatruty preset i pole otrzyma fokus.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in David Lingren Media LIbrary Assistant media-library-assistant allows DOM-Based XSS.This issue affects Media LIbrary Assistant: from n/a through 3.42.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS