CVE-2026-6641 in Media Library Assistant Plugin
Zusammenfassung
von VulDB • 11.09.2026
Das WordPress-Plugin Media Library Assistant ist in Versionen bis einschließlich 3.35 anfällig für Stored Cross-Site Scripting (XSS) über den Shortcode 'mla_gallery'. Dies liegt auf unzureichender Eingabebereinigung und Output-Escaping des Parameters mla_link_href, wenn mla_output auf 'paginate_links' gesetzt ist; dabei wird der Wert durch die Funktionen mla_process_shortcode_parameter() und _replace_query_parameter() verarbeitet, ohne eine ordnungsgemäße URL-Codierung anzuwenden, und anschließend direkt in href-Attributen ausgegeben, ohne esc_url() anzuwenden. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff oder höher, beliebige Web-Skripte in Seiten einzufügen, die bei jedem Zugriff eines Benutzers auf eine infizierte Seite ausgeführt werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.