CVE-2026-6640
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez parametr 'mla_link_attributes' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć złośliwe skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Atakujący z kontem Contributor może umieścić złośliwe skrypty w treściach witryny, które wykonają się w przeglądarkach odwiedzających, w tym administratorów, umożliwiając kradzież sesji lub modyfikację treści.
Rekomendacja
Zaktualizuj wtyczkę Media Library Assistant do wersji nowszej niż 3.35 i przejrzyj istniejące treści pod kątem wstrzykniętych skryptów.
Inne podatności w Media Library Assistant
Zobacz wszystkie- CVE-2026-115948Wysokie
Wtyczka WordPress Media Library Assistant w wersjach do 3.42 zawiera podatność SQL Injection wynikającą z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wykonanie ślepych zapytań SQL.
- CVE-2026-115594Średnie
Wtyczka Media Library Assistant do wersji 3.42 zawiera podatność polegającą na umieszczaniu wrażliwych informacji w wysyłanych danych, co umożliwia odzyskanie osadzonych danych wrażliwych.
- CVE-2026-97295Średnie
Wtyczka Media Library Assistant do WordPressa zawiera podatność Cross-Site Request Forgery (CSRF). Problem dotyczy wersji do 3.42 włącznie.
- CVE-2026-97293Wysokie
Podatność na iniekcję SQL w wtyczce Media Library Assistant w wersjach do 3.41, wykorzystywana przez użytkowników z rolą Contributor.
- CVE-2026-66601Średnie
Media Library Assistant w wersjach do 3.39 zawiera podatność na Cross Site Scripting (XSS) wykorzystywaną przez subskrybentów.
- CVE-2026-66600Krytyczne
Podatność na dowolne przesyłanie plików przez autora w wtyczce Media Library Assistant w wersjach do 3.39. Użytkownik z rolą autora może przesłać złośliwe pliki.
- CVE-2026-118095Średnie
Wtyczka Media Library Assistant do WordPressa (do wersji 3.42) jest podatna na ataki typu DOM-Based Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Luka pozwala na wstrzyknięcie złośliwego skryptu, który zostanie wykonany w przeglądarce użytkownika.
- CVE-2026-103875Średnie
Wtyczka Media Library Assistant dla WordPressa jest podatna na odbity XSS poprzez parametr 'search-string' we wszystkich wersjach do 3.42 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, jeśli uda mu się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku. Wykorzystanie wymaga publicznie dostępnej strony zawierającej shortcode [mla_gallery] z skonfigurowanym trybem paginacji i szablonem mla_link_href odzwierciedlającym token {+request:...+} oraz odpowiedniej liczby załączników do wywołania paginacji.
- CVE-2026-95609Wysokie
Podatność Stored XSS w wtyczce Media Library Assistant. Dotyczy wersji od n/a do 3.41.
- CVE-2026-97294Średnie
Podatność typu Stored XSS w wtyczce Media Library Assistant autorstwa Davida Lingrena. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia trwałe wykonanie złośliwego skryptu w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
The Media Library Assistant plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'mla_link_attributes' parameter in all versions up to, and including, 3.35 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS