CVE-2026-34897Media Library Assistant WordPress插件存在存储型跨站脚本（XSS）漏洞。由于插件在Web页面生成时未能正确中和用户输入，允许低权限攻击者注入恶意脚本。该脚本被存储在服务器上，当管理员或其他用户访问受影响页面时触发。攻击者可借此窃取Cookie、会话令牌或执行恶意操作，影响系统机密性、完整性和可用性。受影响版本包括3.34及以下所有版本。
该漏洞属于存储型XSS（Cross-site Scripting）。在Media Library Assistant插件的功能实现中，特定参数（如媒体库元数据或描述字段）未经过严格的输出编码或过滤即被渲染到HTML页面中。攻击者只需具备低权限账户（PR:L），即可在内容提交时注入恶意的JavaScript代码（如<script>标签或事件处理器）。一旦数据被提交，恶意代码会持久化存储在数据库中。当具有更高权限的管理员或其他用户浏览包含该数据的页面时，浏览器将解析并执行该Payload。由于CVSS向量包含S:C（Scope Changed），该漏洞可能影响浏览器上下文的安全性。