CVE-2026-6642 in Media Library Assistant Plugin
الملخص
بحسب VulDB • 11/09/2026
يحتوي ملحق Media Library Assistant لـ WordPress على ثغرة من نوع Stored Cross-Site Scripting (XSS) عبر آلية تصدير/استيراد الإعدادات المسبقة للتحرير الجماعي في الإصدارات حتى 3.35 شاملةً. ويعود ذلك إلى عدم كفاية عملية هروب المخرجات (output escaping) لقيم حقول الإعدادات المسبقة عند عرضها في سياقات سمات HTML داخل الدالة `mla_generate_bulk_edit_form_fieldsets()` والقالب `mla-bulk-edit-fieldsets.tpl`. وعلى الرغم من تطبيق تصفية `wp_kses()` أثناء تصدير الإعدادات المسبقة للمستخدمين الذين لا يملكون صلاحية `unfiltered_html`، إلا أن ذلك لا يمنع هجمات حقن السمات (attribute injection) لأن الحمولة الضارة تتألف من علامات اقتباس وسمات HTML بدلاً من وسوم HTML. وعند استرجاع قيم الإعدادات المسبقة وعرضها، يتم تعيينها مباشرةً لمتغيرات القالب دون استخدام عملية الهروب `esc_attr()`، ثم تُدرج في سمات قيمة عناصر الإدخال عبر الاستبدال البسيط للسلاسل النصية (string replacement). وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى المؤلف وما فوق (بصلاحية `upload_files`)، من حقن نصوص برمجية ويب عشوائية تنفذ عندما يقوم مسؤول النظام باستيراد الإعداد المسبق الملوث ويتلقى حقل الإدخال المستهدف التركيز.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.