CVE-2026-6454
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Firelight Lightbox dla WordPress do wersji 2.3.20 jest podatna na Stored DOM Cross-Site Scripting. Atrybut href w linku PDF jest niewystarczająco oczyszczony, co pozwala na wstrzyknięcie skryptów przez uwierzytelnionych atakujących z dostępem na poziomie contributor lub wyższym.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się po kliknięciu linku PDF przez użytkownika, prowadząc do kradzieży sesji lub danych.
Rekomendacja
Należy zaktualizować wtyczkę Firelight Lightbox do wersji powyżej 2.3.20 lub ręcznie dodać kodowanie atrybutu href w pliku inc/fancybox-2.php.
Inne podatności w Firelight Lightbox
Zobacz wszystkie- CVE-2026-118438Średnie
Wtyczka WordPress Firelight Lightbox w wersji przed 2.3.24 nieprawidłowo escapuje wartości atrybutów obrazów przed przetworzeniem ich w przeglądarce. Może to umożliwić użytkownikom z uprawnieniami współautora i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy inny użytkownik wyświetla lub podgląda dotkniętą treść.
- CVE-2026-118165Średnie
Wtyczka Firelight Lightbox dla WordPressa w wersjach przed 2.3.23 nie escapuje adresów URL linków otwieranych w klasycznym lightboxie przed wstawieniem ich do strony jako HTML. Umożliwia to użytkownikom z rolą współautora przeprowadzanie przechowywanych ataków cross-site scripting na użytkowników klikających spreparowany link.
Oryginalny opis (angielski, źródło NVD)
The Firelight Lightbox plugin for WordPress is vulnerable to Stored DOM Cross-Site Scripting in versions up to and including 2.3.20. This is due to insufficient sanitization of the href attribute value within the FancyBox V2 PDF beforeLoad JavaScript callback generated in inc/fancybox-2.php, where this.href is string-concatenated directly into an HTML string without escaping, allowing a stored href containing entity-encoded double-quotes to break out of the data attribute and inject arbitrary event handlers into the DOM. This makes it possible for authenticated attackers with contributor-level access and above to inject arbitrary web scripts into pages that execute whenever a user clicks the malicious PDF link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS