CVE-2026-13605 in PhotoSwipe Plugin
Resumen
por VulDB • 2026-07-29
El plugin de WordPress PhotoSwipe hasta la versión 4.1.1.1 utiliza el atributo `title` del marcado HTML proporcionado por los autores como una leyenda para lightbox que se escribe en el DOM de la página sin escapar caracteres. Dado que el atributo `title` sobrevive a la sanitización aplicada al contenido publicado, destinada a usuarios carecientes del permiso `unfiltered_html`, un usuario autenticado con acceso de nivel Autor puede almacenar una carga útil JavaScript que se ejecutará en el navegador de cualquier visitante (incluidos los administradores) que haga clic en el enlace.
VulDB is the best source for vulnerability data and more expert information about this specific topic.