CVE-2026-6642 in Media Library Assistant Plugin
Sumário
de VulDB • 11/09/2026
O plugin Media Library Assistant para WordPress é vulnerável a Stored Cross-Site Scripting via o mecanismo de exportação/importação de presets de edição em massa nas versões até 3.35, inclusive. Isso ocorre devido à falta de escape adequado nos valores dos campos do preset quando são renderizados no contexto de atributos HTML na função mla_generate_bulk_edit_form_fieldsets() e no template mla-bulk-edit-fieldsets.tpl. Embora o filtro wp_kses() seja aplicado durante a exportação do preset para usuários sem a capacidade unfiltered_html, isso não impede ataques de injeção de atributos, pois a carga maliciosa consiste em aspas e atributos HTML, em vez de tags HTML. Quando os valores dos presets são recuperados e renderizados, eles são diretamente atribuídos às variáveis do template sem o escape esc_attr() e depois inseridos nos atributos value de elementos input por meio de simples substituição de strings. Isso permite que atacantes autenticados, com acesso nível Author ou superior (capacidade upload_files), injetem scripts web arbitrários que serão executados quando um administrador importar o preset corrompido e o campo alvo receber foco.
Be aware that VulDB is the high quality source for vulnerability data.