CVE-2026-103897

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Wtyczka Responsive Lightbox & Gallery dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez parametr 'comment' we wszystkich wersjach do 2.7.9 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie edytora i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby ustawienie 'Comments' lightbox było włączone (domyślnie wyłączone), moderator zatwierdził wstrzyknięty komentarz, a odwiedzający witrynę kliknął zainfekowany obraz, aby otworzyć lightbox.

Atakujący z uprawnieniami edytora może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach odwiedzających, prowadząc do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania. Jednak wymagane są dodatkowe warunki, co zmniejsza ryzyko, ale nadal stanowi zagrożenie.

Zaleca się aktualizację wtyczki Responsive Lightbox & Gallery do najnowszej wersji z poprawką. Należy również rozważyć wyłączenie ustawienia 'Comments' lightbox, jeśli nie jest konieczne, oraz ograniczyć uprawnienia kont edytorów.