CVE-2026-6642 in Media Library Assistant Plugin
Résumé
par VulDB • 11/09/2026
Le plugin Media Library Assistant pour WordPress est vulnérable à un Cross-Site Scripting stocké (Stored XSS) via le mécanisme d'exportation/importation des préréglages de modification en masse dans les versions 3.35 et antérieures. Cela est dû à une échappement insuffisant des sorties sur les valeurs des champs de préréglage lorsqu'elles sont rendues dans des contextes d'attributs HTML au sein de la fonction `mla_generate_bulk_edit_form_fieldsets()` et du modèle `mla-bulk-edit-fieldsets.tpl`. Bien que le filtrage par `wp_kses()` soit appliqué lors de l'exportation des préréglages pour les utilisateurs dépourvus de la capacité `unfiltered_html`, cela n'empêche pas les attaques d'injection d'attributs, car la charge utile malveillante se compose de guillemets et d'attributs HTML plutôt que de balises HTML. Lorsque les valeurs des préréglages sont récupérées et rendues, elles sont directement assignées aux variables du modèle sans échappement par `esc_attr()`, puis insérées dans les attributs value des éléments input via une simple substitution de chaîne. Cela permet à des attaquants authentifiés disposant d'un accès de niveau Auteur ou supérieur (avec la capacité `upload_files`) d'injecter des scripts web arbitraires qui s'exécutent lorsqu'un administrateur importe le préréglage corrompu et que le champ input ciblé reçoit le focus.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.