CVE-2026-6075
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Media Library Assistant dla WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) w wersjach do 3.35 włącznie. Brak weryfikacji nonce w procedurach obsługi akcji masowych w zakładce ustawień umożliwia nieuwierzytelnionemu atakującemu nakłonienie administratora do wykonania niechcianych operacji masowego usuwania, edycji lub czyszczenia ustawień wtyczki i metadanych załączników poprzez sfałszowane żądanie.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanej modyfikacji lub usunięcia danych konfiguracyjnych i metadanych załączników, co może prowadzić do utraty danych, zakłócenia działania strony oraz naruszenia integralności biblioteki multimediów.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Media Library Assistant do najnowszej dostępnej wersji, która zawiera poprawkę usuwającą lukę CSRF. Jeśli aktualizacja nie jest możliwa, rozważ tymczasowe wyłączenie wtyczki do czasu jej wydania.
Inne podatności w Media Library Assistant
Zobacz wszystkie- CVE-2026-115948Wysokie
Wtyczka WordPress Media Library Assistant w wersjach do 3.42 zawiera podatność SQL Injection wynikającą z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wykonanie ślepych zapytań SQL.
- CVE-2026-115594Średnie
Wtyczka Media Library Assistant do wersji 3.42 zawiera podatność polegającą na umieszczaniu wrażliwych informacji w wysyłanych danych, co umożliwia odzyskanie osadzonych danych wrażliwych.
- CVE-2026-97295Średnie
Wtyczka Media Library Assistant do WordPressa zawiera podatność Cross-Site Request Forgery (CSRF). Problem dotyczy wersji do 3.42 włącznie.
- CVE-2026-97293Wysokie
Podatność na iniekcję SQL w wtyczce Media Library Assistant w wersjach do 3.41, wykorzystywana przez użytkowników z rolą Contributor.
- CVE-2026-66601Średnie
Media Library Assistant w wersjach do 3.39 zawiera podatność na Cross Site Scripting (XSS) wykorzystywaną przez subskrybentów.
- CVE-2026-66600Krytyczne
Podatność na dowolne przesyłanie plików przez autora w wtyczce Media Library Assistant w wersjach do 3.39. Użytkownik z rolą autora może przesłać złośliwe pliki.
- CVE-2026-118095Średnie
Wtyczka Media Library Assistant do WordPressa (do wersji 3.42) jest podatna na ataki typu DOM-Based Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Luka pozwala na wstrzyknięcie złośliwego skryptu, który zostanie wykonany w przeglądarce użytkownika.
- CVE-2026-103875Średnie
Wtyczka Media Library Assistant dla WordPressa jest podatna na odbity XSS poprzez parametr 'search-string' we wszystkich wersjach do 3.42 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, jeśli uda mu się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku. Wykorzystanie wymaga publicznie dostępnej strony zawierającej shortcode [mla_gallery] z skonfigurowanym trybem paginacji i szablonem mla_link_href odzwierciedlającym token {+request:...+} oraz odpowiedniej liczby załączników do wywołania paginacji.
- CVE-2026-95609Wysokie
Podatność Stored XSS w wtyczce Media Library Assistant. Dotyczy wersji od n/a do 3.41.
- CVE-2026-97294Średnie
Podatność typu Stored XSS w wtyczce Media Library Assistant autorstwa Davida Lingrena. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia trwałe wykonanie złośliwego skryptu w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
The Media Library Assistant plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 3.35 This is due to missing nonce verification on the bulk action handlers in the settings tab handlers. This makes it possible for unauthenticated attackers to trick an administrator into performing bulk delete, edit, or purge operations on plugin settings and attachment metadata via a forged request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS