CVE-2026-13605

Nome do Software Vulnerável e Versões Afetadas PhotoSwipe WordPress plugin versões anteriores a 4.1.1.2

Descrição O plugin utiliza o atributo title de marcações de link fornecidas pelo autor como uma legenda de lightbox, que é gravada no DOM da página sem a devida filtragem. Como o atributo title ignora a sanitização de conteúdo de postagens aplicada a usuários que não possuem a capacidade unfiltered html, um usuário autenticado com nível de acesso de Autor pode armazenar um payload de JavaScript. Este payload é executado no navegador de qualquer visitante, incluindo administradores, que clicar no link.

Recomendações Atualize o PhotoSwipe WordPress plugin para a versão 4.1.1.2 ou posterior.