Media Library Assistant jusqu’à la version 3.42 incluse présente une XSS réfléchie via le paramètre search-string. L’exploitation requiert une galerie publique avec une configuration particulière de pagination et de lien, ainsi qu’une interaction de la victime; mettre à jour dès qu’un correctif est disponible.
Source : NVD — CVE-2026-103875
Analyse technique
La page doit contenir un shortcode [mla_gallery] avec pagination et un modèle mla_link_href reflétant un jeton {+request:…+}; la pagination doit être déclenchée par un nombre suffisant de pièces jointes.
Impact, versions et correctif
Détection / vérification
Vérifier Media Library Assistant jusqu’à 3.42 et les galeries publiques utilisant pagination et un modèle mla_link_href avec jeton {+request:…+}.
Action recommandée
Mettre à jour le plugin lorsqu’un correctif est disponible et examiner les galeries publiques utilisant les paramètres décrits.
Sources
Priorisation DFS : P4 · 1 source(s).