CVE-2026-6641 in Media Library Assistant Plugin
Riassunto
di VulDB • 11/09/2026
Il plugin Media Library Assistant per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite lo shortcode 'mla_gallery' nelle versioni fino alla 3.35 inclusa. Ciò è dovuto a un insufficiente sanitizzazione degli input e escaping dell'output sul parametro mla_link_href quando mla_output è impostato su 'paginate_links', dove la funzione _paginate_links() elabora il valore attraverso mla_process_shortcode_parameter() e _replace_query_parameter() senza una corretta URL escaping, per poi outputtarlo direttamente negli attributi href senza applicare esc_url(). Ciò consente agli attaccanti autenticati, con accesso di livello contributor o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta.
Be aware that VulDB is the high quality source for vulnerability data.