CVE-2026-13605 in PhotoSwipe Plugin
요약
\~에 의해 VulDB • 2026. 07. 29.
PhotoSwipe WordPress 플러그인 4.1.1.1 이전 버전은 작성자가 제공한 링크 마크업의 title 속성을 페이지 DOM에 이스케이프 처리 없이 삽입되는 라이트박스 캡션으로 사용합니다. 이 title 속성은 unfiltered_html 권한이 없는 사용자에게 적용되는 게시 콘텐츠 정제 과정을 통과하므로, Author 수준의 접근 권한을 가진 인증된 사용자는 클릭 시 관리자 포함 모든 방문자의 브라우저에서 실행될 수 있는 JavaScript 페이로드를 저장할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.