Qué es la vulnerabilidad
El plugin Lightbox with PhotoSwipe para WordPress no sanitiza correctamente los títulos de enlaces y otras fuentes de texto antes de insertarlos como HTML en los pies de foto del lightbox, permitiendo a atacantes no autenticados ejecutar Cross-Site Scripting almacenado (XSS) a través de comentarios.
Versiones afectadas
Todas las versiones del plugin anteriores a la 5.19.0.
Impacto y probabilidad de explotación
El EPSS indica un 0.2% de probabilidad de explotación en los próximos 30 días (percentil 7%), considerado bajo. Shodan no reporta hosts expuestos actualmente. INCIBE-CERT clasifica la severidad como P (baja).
Qué hacer
Actualizar el plugin a la versión 5.19.0 o superior inmediatamente.
| CVE | CVE-2026-124649 |
|---|---|
| Severidad | HIGH |
| EPSS | 0.2% en 30 días (percentil 7) |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
The Lightbox with PhotoSwipe WordPress plugin 5.19.0
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).