CVE-2026-118438
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Firelight Lightbox w wersji przed 2.3.24 nieprawidłowo escapuje wartości atrybutów obrazów przed przetworzeniem ich w przeglądarce. Może to umożliwić użytkownikom z uprawnieniami współautora i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy inny użytkownik wyświetla lub podgląda dotkniętą treść.
Ocena ryzyka
Atakujący z uprawnieniami współautora może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce innych użytkowników, w tym administratorów. Może to prowadzić do przejęcia sesji lub wykonania nieautoryzowanych działań.
Rekomendacja
Zaktualizuj wtyczkę Firelight Lightbox do wersji 2.3.24 lub nowszej. Przejrzyj treści tworzone przez użytkowników z uprawnieniami współautora pod kątem podejrzanych skryptów.
Inne podatności w Firelight Lightbox
Zobacz wszystkie- CVE-2026-118165Średnie
Wtyczka Firelight Lightbox dla WordPressa w wersjach przed 2.3.23 nie escapuje adresów URL linków otwieranych w klasycznym lightboxie przed wstawieniem ich do strony jako HTML. Umożliwia to użytkownikom z rolą współautora przeprowadzanie przechowywanych ataków cross-site scripting na użytkowników klikających spreparowany link.
- CVE-2026-6454Średnie
Wtyczka Firelight Lightbox dla WordPress do wersji 2.3.20 jest podatna na Stored DOM Cross-Site Scripting. Atrybut href w linku PDF jest niewystarczająco oczyszczony, co pozwala na wstrzyknięcie skryptów przez uwierzytelnionych atakujących z dostępem na poziomie contributor lub wyższym.
Oryginalny opis (angielski, źródło NVD)
The Firelight Lightbox WordPress plugin before 2.3.24 does not properly escape image attribute values before processing them in the browser, which could allow users with contributor-level access and above to inject arbitrary web scripts that execute when another user views or previews the affected content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS