CVE-2026-97295

Wtyczka WordPress Media Library Assistant w wersjach do 3.42 zawiera podatność SQL Injection wynikającą z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wykonanie ślepych zapytań SQL.

Wtyczka Media Library Assistant do wersji 3.42 zawiera podatność polegającą na umieszczaniu wrażliwych informacji w wysyłanych danych, co umożliwia odzyskanie osadzonych danych wrażliwych.

Podatność na iniekcję SQL w wtyczce Media Library Assistant w wersjach do 3.41, wykorzystywana przez użytkowników z rolą Contributor.

Media Library Assistant w wersjach do 3.39 zawiera podatność na Cross Site Scripting (XSS) wykorzystywaną przez subskrybentów.

Podatność na dowolne przesyłanie plików przez autora w wtyczce Media Library Assistant w wersjach do 3.39. Użytkownik z rolą autora może przesłać złośliwe pliki.

Wtyczka Media Library Assistant do WordPressa (do wersji 3.42) jest podatna na ataki typu DOM-Based Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Luka pozwala na wstrzyknięcie złośliwego skryptu, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka Media Library Assistant dla WordPressa jest podatna na odbity XSS poprzez parametr 'search-string' we wszystkich wersjach do 3.42 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, jeśli uda mu się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku. Wykorzystanie wymaga publicznie dostępnej strony zawierającej shortcode [mla_gallery] z skonfigurowanym trybem paginacji i szablonem mla_link_href odzwierciedlającym token {+request:...+} oraz odpowiedniej liczby załączników do wywołania paginacji.

Podatność Stored XSS w wtyczce Media Library Assistant. Dotyczy wersji od n/a do 3.41.

Podatność typu Stored XSS w wtyczce Media Library Assistant autorstwa Davida Lingrena. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia trwałe wykonanie złośliwego skryptu w przeglądarce ofiary.

Wtyczka Media Library Assistant dla WordPressa w wersjach do 3.35 włącznie jest podatna na trwały cross-site scripting poprzez mechanizm eksportu/importu presetów masowej edycji. Z powodu niewystarczającego escapowania wartości pól presetów w kontekstach atrybutów HTML, uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć złośliwe skrypty, które wykonają się, gdy administrator zaimportuje zatruty preset i pole otrzyma fokus.