CVE-2026-6642: Stored XSS в Media Library Assistant через импорт пресетов массового редактирования

В плагине Media Library Assistant для WordPress выявлена уязвимость класса Stored Cross-Site Scripting (XSS), связанная с механизмом экспорта и импорта пресетов массового редактирования. Проблема затрагивает пользователей, применяющих расширенные возможности плагина для управления медиатекой.

Подробности

Уязвимости подвержены версии dglingren Media Library Assistant до 3.35 включительно. Тип уязвимости — Stored Cross-Site Scripting (CWE-79), уровень критичности по шкале CVSS — 6.4 (MEDIUM). Причина уязвимости — недостаточное экранирование значений полей пресетов при их выводе в HTML-атрибутах. Это касается функции mla_generate_bulk_edit_form_fieldsets() и шаблона mla-bulk-edit-fieldsets.tpl. Хотя при экспорте пресета для пользователей без возможности unfiltered_html применяется фильтрация через wp_kses(), она не препятствует атакам типа attribute injection: вредоносная нагрузка состоит из кавычек и HTML-атрибутов, а не из HTML-тегов. При извлечении и отображении значений пресетов они напрямую присваиваются переменным шаблона без экранирования через esc_attr(), после чего вставляются в атрибуты value элементов input простой заменой строк. В результате аутентифицированный атакующий с уровнем доступа Author и выше (с возможностью upload_files) может внедрить произвольные веб-скрипты. Они выполнятся, когда администратор импортирует "отравленный" пресет, а целевое поле ввода получит фокус.

Что делать

Рекомендуется:

• Обновить плагин Media Library Assistant до версии выше 3.35, как только она станет доступна, либо до версии, в которой производитель устранил уязвимость.
• Если обновление невозможно, ограничить число пользователей с ролями Author и выше, а также тщательно проверять источники импортируемых пресетов массового редактирования.
• Не импортировать файлы пресетов, полученные из недоверенных источников.
• Рассмотреть применение WAF-правил для фильтрации подозрительных значений в атрибутах input.

Итог: уязвимость CVE-2026-6642 позволяет аутентифицированному пользователю с невысокими привилегиями провести атаку Stored XSS против администратора сайта. Учитывая, что эксплойт срабатывает при обычном взаимодействии с полем ввода, риск требует оперативного обновления плагина или строгого контроля импортируемых пресетов.

Источник: CVE Project (cvelistV5)