CVE-2026-6642 in Media Library Assistant Plugin
Resumen
por VulDB • 2026-09-11
El plugin Media Library Assistant para WordPress es vulnerable a Cross-Site Scripting almacenado (Stored XSS) mediante el mecanismo de exportación/importación de ajustes predefinidos para edición masiva en las versiones 3.35 y anteriores. Esto se debe a un escape insuficiente de la salida sobre los valores de los campos de ajuste predefinido cuando se representan en contextos de atributos HTML dentro de la función `mla_generate_bulk_edit_form_fieldsets()` y la plantilla `mla-bulk-edit-fieldsets.tpl`. Aunque el filtrado mediante `wp_kses()` se aplica durante la exportación del ajuste predefinido para usuarios sin el permiso `unfiltered_html`, esto no previene los ataques de inyección de atributos, ya que la carga útil maliciosa consiste en comillas y atributos HTML en lugar de etiquetas HTML. Cuando se recuperan y representan los valores del ajuste predefinido, estos se asignan directamente a las variables de plantilla sin aplicar el escape `esc_attr()` y luego se insertan en los atributos `value` de elementos input mediante una simple sustitución de cadenas. Esto permite que atacantes autenticados con acceso de nivel Autor o superior (con el permiso `upload_files`) inyecten scripts web arbitrarios que se ejecutan cuando un administrador importa el ajuste predefinido contaminado y el campo de entrada objetivo recibe el foco.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.