WordPress-плагин Media Library Assistant <= 3.35 уязвим к Stored XSS (CVE-2026-6641)

В экосистеме WordPress плагины расширения нередко становятся источником серьёзных проблем безопасности. Очередное подтверждение этому — уязвимость CVE-2026-6641 в популярном плагине Media Library Assistant от разработчика dglingren, предназначенном для расширенного управления медиатекой. Проблема относится к классу хранимого межсайтового скриптинга (Stored Cross-Site Scripting) и затрагивает версии плагина до 3.35 включительно.

Подробности

Уязвимость кроется в обработке шорткода mla_gallery. При установке параметра mla_output в значение 'paginate_links' значение параметра mla_link_href проходит через функции mla_process_shortcode_parameter() и _replace_query_parameter() без должной очистки и экранирования URL. В результате сформированная ссылка выводится напрямую в атрибут href без применения функции esc_url(). Это позволяет аутентифицированному пользователю с ролью Contributor или выше внедрить произвольный JavaScript-код в содержимое страницы. Внедрённый скрипт сохраняется в базе данных и выполняется в браузере любого пользователя, открывшего заражённую страницу, — включая администраторов сайта. Это создаёт риск кражи сессионных данных, выполнения действий от имени жертвы и иных атак в контексте доверенного домена. Уязвимости присвоен базовый балл CVSS 6.4 (MEDIUM). Для эксплуатации требуется наличие учётной записи с правами Contributor и выше, что несколько снижает вероятность массовых атак, однако на сайтах с открытой регистрацией авторов или большим штатом редакторов риск существенно возрастает.

Что делать

В первую очередь необходимо обновить плагин Media Library Assistant до версии выше 3.35, как только она станет доступна. Если обновление пока невозможно, рекомендуется применить следующие меры: — ограничить круг пользователей с правами Contributor и выше, проверив актуальность всех учётных записей; — временно отключить плагин, если функции расширенной медиатеки не используются критично; — настроить веб-приложение (WAF) для фильтрации подозрительных значений параметра mla_link_href и блокировки попыток внедрения скриптов; — провести аудит существующего контента на предмет наличия вредоносных вставок в шорткодах mla_gallery; — включить политику Content Security Policy (CSP) для снижения последствий возможной эксплуатации XSS. Также стоит регулярно проверять официальные каналы информации об уязвимостях WordPress-плагинов и оперативно реагировать на новые CVE, связанные с используемыми расширениями. Итог: CVE-2026-6641 — типичный пример уязвимости, возникающей из-за недостаточной очистки входных данных и отсутствия экранирования при выводе. Несмотря на средний уровень критичности и требование аутентификации, хранимый XSS в популярном плагине представляет реальную угрозу для сайтов на WordPress. Своевременное обновление и базовые практики гигиены безопасности помогут минимизировать риски.

Источник: CVE Project (cvelistV5)