Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Средний
Опубликована

CVE-2026-6642

Media Library Assistant <= 3.35 - Authenticated (Author+) Stored Cross-Site Scripting via Bulk Edit Preset Export/Import

Публикация: 11.09.2026·Обновлена: 11.09.2026, 23:30·Europe/Moscow

Что произошло

Перевод ещё не доступен · оригинальное описание

The Media Library Assistant plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the bulk edit preset export/import mechanism in versions up to and including 3.35. This is due to insufficient output escaping on preset field values when they are rendered in HTML attribute contexts in the mla_generate_bulk_edit_form_fieldsets() function and mla-bulk-edit-fieldsets.tpl template. While wp_kses() filtering is applied during preset export for users without unfiltered_html capability, this does not prevent attribute injection attacks since the malicious payload consists of quotes and HTML attributes rather than HTML tags. When preset values are retrieved and rendered, they are directly assigned to template variables without esc_attr() escaping and then inserted into input element value attributes via simple string replacement. This makes it possible for authenticated attackers, with Author-level access and above (upload_files capability), to inject arbitrary web scripts that execute when an administrator imports the poisoned preset and the targeted input field receives focus.

Что это значит

Входные данные могут попасть в страницу как активное содержимое. При выполнении условий атаки это затрагивает пользователей приложения.

Что делать

Сформировано автоматически из полей источников и общих шаблонов
Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

dglingren / Media Library Assistant 

{
  "status": "affected",
  "version": "0",
  "versionType": "semver",
  "lessThanOrEqual": "3.35"
}

CVSS: оценки и векторы

CVSS 3.1 · cve6.4
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователяне нужно
S · Область воздействияменяется
C · Конфиденциальностьнизкое
I · Целостностьнизкое
A · Доступностьнет

Классы CWE

CWE-79 ↗

Источники и ссылки

Материал · www.wordfence.com · cveМатериал · plugins.trac.wordpress.org · cveМатериал · plugins.trac.wordpress.org · cveМатериал · plugins.trac.wordpress.org · cveМатериал · plugins.trac.wordpress.org · cveМатериал · plugins.trac.wordpress.org · cveМатериал · plugins.trac.wordpress.org · cveМатериал · plugins.trac.wordpress.org · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-10-29T09:38:14.204812+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T20:02:26.013059+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T20:02:26.013059+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T20:02:26.013059+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-10-29T09:38:14.204812+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T20:02:26.013059+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены29.10.2026, 12:38
  2. Опубликована28.10.2026, 23:02

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-103875
Media Library Assistant <= 3.42 - Reflected Cross-Site Scripting via 'search-string' Parameter via {+request:...+} in Pagination Links
dglingren / Media Library Assistant
Средний4.7
—
29.10.2026
CVE-2026-113485
Media Library Assistant < 3.42 - Bulk Attachment Deletion via CSRF
Unknown / Media Library Assistant
Высокий6.5
0,11 %
PoC
28.10.2026
CVE-2026-113486
Media Library Assistant < 3.42 - Trashed Attachment Deletion via CSRF
Unknown / Media Library Assistant
Высокий6.5
0,11 %
PoC
28.10.2026
CVE-2026-6641
Media Library Assistant <= 3.35 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'mla_link_href' Shortcode Parameter
dglingren / Media Library Assistant
Средний6.4
0,36 %
11.09.2026
CVE-2026-6640
Media Library Assistant <= 3.35 - Authenticated (Contributor+) Stored Cross-Site Scripting via mla_link_attributes Parameter
dglingren / Media Library Assistant
Средний6.4
0,42 %
11.09.2026