CVE-2026-6641 in Media Library Assistant Plugin
Сводка
по VulDB • 11.09.2026
Плагин Media Library Assistant для WordPress уязвим к Stored Cross-Site Scripting (XSS) через шорткод 'mla_gallery' в версиях вплоть до 3.35 включительно. Это обусловлено недостаточной санитизацией входных данных и экранированием вывода параметра mla_link_href, когда mla_output установлен в значение 'paginate_links'. В этом случае функция _paginate_links() обрабатывает значение через функции mla_process_shortcode_parameter() и _replace_query_parameter() без надлежащего URL-экранирования, а затем выводит его напрямую в атрибутах href без применения esc_url(). Это позволяет злоумышленникам с уровнем доступа «contributor» (соавтор) и выше внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом посещении такой страницы пользователем.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.