CVE-2026-13605 in PhotoSwipe Plugin
要約
〜によって VulDB • 2026年07月29日
PhotoSwipe WordPress プラグインの 4.1.1.1 より前のバージョンでは、著者が提供したリンクマークアップの title 属性がライトボックスのキャプションとして使用され、エスケープ処理なしでページ DOM に書き込まれます。title 属性は、「unfiltered_html」権限を持たないユーザーに対して適用される投稿コンテンツのサニタイズ処理を通過するため、「Author」レベルのアクセス権を持つ認証済みユーザーは、リンクをクリックした管理者を含むすべての訪問者のブラウザ上で実行される JavaScript ペイロードを格納できます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.