Уязвимость Stored XSS в WordPress-плагине Media Library Assistant (CVE-2026-6640)
В плагине Media Library Assistant для WordPress обнаружена уязвимость хранимого межсайтового скриптинга (Stored XSS) через параметр mla_link_attributes. Проблема затрагивает все версии до 3.35 включительно. Для эксплуатации злоумышленнику достаточно прав уровня Contributor и выше, что делает уязвимость особенно опасной для сайтов с несколькими авторами.
Подробности
Уязвимость относится к классу Stored Cross-Site Scripting (хранимый XSS) и затрагивает все версии плагина dglingren Media Library Assistant вплоть до 3.35 включительно. Причиной стало недостаточное экранирование входных данных и вывода при обработке параметра mla_link_attributes. Из-за отсутствия должной санитизации аутентифицированный злоумышленник с правами уровня Contributor и выше может внедрить произвольный JavaScript-код в страницы сайта. Вредоносный скрипт сохраняется на сервере и автоматически выполняется в браузере любого пользователя, открывшего заражённую страницу, — включая администраторов. Уязвимости присвоена оценка CVSS 6.4 (MEDIUM). Такой уровень отражает важный нюанс: эксплуатировать проблему может не любой анонимный посетитель, а только пользователь с уже подтверждёнными правами на публикацию контента. Однако на многих ресурсах с открытой регистрацией авторов или с большим штатом контент-менеджеров этот барьер оказывается невысоким. Последствия успешной атаки варьируются от кражи сессионных cookie и перенаправления на фишинговые ресурсы до выполнения произвольных действий от имени администратора.Что делать
Основная рекомендация — обновить плагин Media Library Assistant до версии, в которой устранена уязвимость (выше 3.35). Производитель выпускает исправление в рамках стандартного цикла поддержки, поэтому обновление следует установить как можно скорее. Если немедленное обновление невозможно, стоит применить временные меры: - ограничить число пользователей с правами Contributor и выше, провести ревизию учётных записей и удалить неактивные; - усилить контроль за публикуемым контентом, включив модерацию материалов от авторов с низким уровнем доверия; - настроить веб-application firewall (WAF) для фильтрации подозрительных значений параметра mla_link_attributes; - регулярно проверять страницы сайта и базу данных на наличие посторонних скриптов. Дополнительно рекомендуется настроить политику Content Security Policy (CSP), которая ограничит выполнение сторонних скриптов и снизит ущерб даже при успешной эксплуатации. Итог: CVE-2026-6640 — типичный пример того, как недостаточная валидация данных превращает удобный плагин в точку входа для атак. Угроза не критична по шкале CVSS, но требует внимания, поскольку затрагивает сайты с активным авторским составом. Своевременное обновление и разумное ограничение прав пользователей сводят риск к минимуму.Источник: CVE Project (cvelistV5)