CVE-2026-118165
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Firelight Lightbox dla WordPressa w wersjach przed 2.3.23 nie escapuje adresów URL linków otwieranych w klasycznym lightboxie przed wstawieniem ich do strony jako HTML. Umożliwia to użytkownikom z rolą współautora przeprowadzanie przechowywanych ataków cross-site scripting na użytkowników klikających spreparowany link.
Ocena ryzyka
Wstrzyknięte skrypty mogą wykonywać się w przeglądarkach użytkowników, umożliwiając kradzież sesji lub inne działania w kontekście ofiary.
Rekomendacja
Zaktualizuj wtyczkę Firelight Lightbox do wersji 2.3.23 lub nowszej. Do czasu aktualizacji ogranicz role współautorów i monitoruj linki w treściach.
Inne podatności w Firelight Lightbox
Zobacz wszystkie- CVE-2026-118438Średnie
Wtyczka WordPress Firelight Lightbox w wersji przed 2.3.24 nieprawidłowo escapuje wartości atrybutów obrazów przed przetworzeniem ich w przeglądarce. Może to umożliwić użytkownikom z uprawnieniami współautora i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy inny użytkownik wyświetla lub podgląda dotkniętą treść.
- CVE-2026-6454Średnie
Wtyczka Firelight Lightbox dla WordPress do wersji 2.3.20 jest podatna na Stored DOM Cross-Site Scripting. Atrybut href w linku PDF jest niewystarczająco oczyszczony, co pozwala na wstrzyknięcie skryptów przez uwierzytelnionych atakujących z dostępem na poziomie contributor lub wyższym.
Oryginalny opis (angielski, źródło NVD)
The Firelight Lightbox WordPress plugin before 2.3.23 does not escape the URL of links it opens in its Classic lightbox before inserting it into the page as HTML, which could allow users with a role as low as Contributor to perform Stored Cross-Site Scripting attacks against users who click a crafted link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS