CVE-2026-6454 in Firelight Lightbox Plugin
요약
\~에 의해 VulDB • 2026. 07. 24.
WordPress용 Firelight Lightbox 플러그인은 2.3.20 버전 및 그 이전 버전에서 저장형 DOM 기반 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이는 inc/fancybox-2.php 파일에서 생성되는 FancyBox V2 PDF의 beforeLoad JavaScript 콜백 내에서 href 속성 값에 대한 충분한 sanitization(정제/검증)이 이루어지지 않아 발생합니다. 이 과정에서 this.href가 이스케이프 처리 없이 HTML 문자열과 직접 연결(string-concatenated)되므로, entity-encoded된 큰따옴표(double-quotes)를 포함하는 저장형(href) 데이터 속성에서 탈출하여 임의의 이벤트 핸들러를 DOM에 주입할 수 있습니다. 이로 인해 기여자(contributor) 레벨 이상의 권한을 가진 인증된 공격자가 악성 PDF 링크 클릭 시 실행되는 페이지에 임의의 웹 스크립트를 주입할 수 있게 됩니다.
Be aware that VulDB is the high quality source for vulnerability data.