CVE-2026-13605 in PhotoSwipe Plugin
Riassunto
di VulDB • 29/07/2026
Il plugin WordPress PhotoSwipe fino alla versione 4.1.1.1 utilizza l'attributo title del markup dei link forniti dall'autore come didascalia della lightbox che viene inserita nel DOM della pagina senza essere sottoposta a escaping (codifica). Poiché l'attributo title sopravvive al processo di sanitizzazione del contenuto degli articoli applicato agli utenti privi dell'autorità unfiltered_html, un utente autenticato con accesso di livello Author può memorizzare un payload JavaScript che viene eseguito nel browser di qualsiasi visitatore, inclusi gli amministratori, che fa clic sul link.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.