PT-2026-44771 · WordPress · Media Library Assistant

Jack Pas · Publicado 2026-05-29 · Atualizado 2026-05-29 · CVE-2026-6075

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Media Library Assistant versões anteriores a 3.36

Description O plugin Media Library Assistant para WordPress é suscetível a Cross-Site Request Forgery (CSRF), um tipo de ataque onde um usuário não autorizado engana uma vítima para realizar ações que ela não pretendia fazer. Isso ocorre devido à falta de verificação de nonce—um token de segurança usado para garantir que uma solicitação seja legítima—nos manipuladores de ação em massa da guia de configurações. Consequentemente, atacantes não autenticados podem enganar um administrador para executar operações de exclusão, edição ou expurgo em massa nas configurações do plugin e nos metadados de anexo por meio de uma solicitação forjada.

Recommendations Atualize para uma versão posterior a 3.35.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2026-6075

Produtos afetados

Media Library Assistant

Referências · 13

• https://nvd.nist.gov/vuln/detail/CVE-2026-6075 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/media-library-assistant/trunk/includes/class-mla-settings-view-tab.php#L224 · Nota
• https://plugins.trac.wordpress.org/changeset/3494141/media-library-assistant/trunk/includes/class-mla-settings-custom-fields-tab.php · Nota
• https://plugins.trac.wordpress.org/browser/media-library-assistant/trunk/includes/class-mla-settings-iptc-exif-tab.php#L804 · Nota
• https://plugins.trac.wordpress.org/browser/media-library-assistant/tags/3.33/includes/class-mla-settings-custom-fields-tab.php#L664 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/0e399651-8992-4949-b7a7-4e8ce199b47a?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/media-library-assistant/tags/3.33/includes/class-mla-settings-view-tab.php#L224 · Nota
• https://plugins.trac.wordpress.org/browser/media-library-assistant/tags/3.33/includes/class-mla-settings-iptc-exif-tab.php#L804 · Nota
• https://plugins.trac.wordpress.org/browser/media-library-assistant/trunk/includes/class-mla-settings-custom-fields-tab.php#L664 · Nota
• https://t.me/CVEtracker/55239 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/media-library-assistant/trunk/includes/class-mla-settings.php#L1331 · Nota
• https://plugins.trac.wordpress.org/browser/media-library-assistant/tags/3.33/includes/class-mla-settings.php#L1331 · Nota
• https://plugins.trac.wordpress.org/changeset?old_path=%2Fmedia-library-assistant/tags/3.34&new_path=%2Fmedia-library-assistant/tags/3.35 · Nota