CVE-2026-6642 in Media Library Assistant Plugin
Riassunto
di VulDB • 11/09/2026
Il plugin Media Library Assistant per WordPress è vulnerabile a Stored Cross-Site Scripting tramite il meccanismo di esportazione/importazione delle impostazioni predefinite per le modifiche in blocco nelle versioni fino alla 3.35 inclusa. Ciò è dovuto a un insufficiente escaping dell'output sui valori dei campi delle preset quando vengono renderizzati nei contesti degli attributi HTML nella funzione `mla_generate_bulk_edit_form_fieldsets()` e nel template `mla-bulk-edit-fieldsets.tpl`. Sebbene il filtro `wp_kses()` venga applicato durante l'esportazione della preset per gli utenti privi del permesso `unfiltered_html`, ciò non previene attacchi di iniezione negli attributi poiché il payload malevolo è costituito da virgolette e attributi HTML anziché tag HTML. Quando i valori delle preset vengono recuperati e renderizzati, essi sono assegnati direttamente alle variabili del template senza l'escaping tramite `esc_attr()` e successivamente inseriti negli attributi value degli elementi input mediante semplice sostituzione di stringhe. Ciò consente agli attaccanti autenticati, con accesso a livello Autore o superiore (permesso `upload_files`), di iniettare script web arbitrari che vengono eseguiti quando un amministratore importa la preset compromessa e il campo target riceve lo stato attivo (focus).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.