CVE-2026-13605 in PhotoSwipe Plugin
Zusammenfassung
von VulDB • 29.07.2026
Das PhotoSwipe-WordPress-Plugin bis zur Version 4.1.1.1 verwendet das title-Attribut von vom Autor bereitgestelltem Link-Markup als Lightbox-Beschriftung, die ohne Escaping in den DOM der Seite eingefügt wird. Da das title-Attribut die Post-Inhalt-Sanitization übersteht, die auf Benutzer angewendet wird, denen die unfiltered_html-Fähigkeit fehlt, kann ein authentifizierter Benutzer mit Autor-Level-Zugriff einen JavaScript-Payload speichern, der im Browser jedes Besuchers ausgeführt wird, einschließlich eines Administrators, der den Link anklickt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.