CVE-2026-13605
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka PhotoSwipe dla WordPressa do wersji 4.1.1.1 używa atrybutu title w linkach dostarczonych przez autora jako podpis lightboxa, zapisywany w DOM strony bez odpowiedniego escapowania. Uwierzytelniony użytkownik z uprawnieniami Autora może przechowywać ładunek JavaScript, który wykona się w przeglądarce każdego odwiedzającego, który kliknie link, w tym administratora.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach odwiedzających witrynę, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Należy zaktualizować wtyczkę PhotoSwipe do wersji nowszej niż 4.1.1.1, jeśli dostępna jest poprawka.
Inne podatności w WordPress plugin
Zobacz wszystkie- CVE-2026-14300Wysokie
Wtyczka miniOrange Social Login and Register dla WordPressa przed wersją 7.8.0 nie wiąże jednorazowego kodu używanego w opcjonalnej weryfikacji e-mail z kontem, dla którego został wygenerowany. Pozwala to nieuwierzytelnionemu atakującemu uzyskać ważną sesję dla dowolnego konta, w tym administratora, poprzez żądanie kodu na kontrolowany przez siebie adres e-mail i użycie go wobec adresu ofiary.
- CVE-2026-14234Wysokie
Wtyczka WOLF dla WordPressa przed wersją 1.1.0 nie sprawdza nonce ani uprawnień w jednym ze swoich zapytań AJAX. Pozwala to nieuwierzytelnionemu atakującemu nakłonić zalogowanego administratora do zapisania dowolnej treści, w tym złośliwego skryptu, w poście poprzez żądanie cross-site, co prowadzi do trwałego Cross-Site Scripting (XSS).
- CVE-2026-13690Wysokie
Wtyczka UsersWP dla WordPressa przed wersją 1.2.67 nie weryfikuje wybranego dostawcy uwierzytelniania w obsłudze logowania dwuskładnikowego. Pozwala to atakującemu, który zna dane logowania użytkownika, ominąć drugi czynnik uwierzytelniania i zalogować się jako ten użytkownik.
- CVE-2026-11351Średnie
Wtyczka ShinyStat Analytics dla WordPressa przed wersją 1.0.17 nie wykonuje żadnej kontroli autoryzacji na jednym ze swoich endpointów REST API. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie informacji o nieopublikowanych produktach WooCommerce (np. szkicach, oczekujących lub prywatnych).
Oryginalny opis (angielski, źródło NVD)
The PhotoSwipe WordPress plugin through 4.1.1.1 uses the title attribute of author-supplied link markup as a lightbox caption that is written into the page DOM without escaping. Because the title attribute survives the post-content sanitization applied to users who lack the unfiltered_html capability, an authenticated user with Author-level access can store a JavaScript payload that executes in the browser of any visitor, including an administrator, who clicks the link.