CVE-2026-97290 Photonic Gallery & Lightbox 未认证跨站脚本漏洞
影响未认证攻击者可注入恶意脚本，在受害者浏览器中执行
AI 研判
Photonic Gallery & Lightbox（用于 Flickr、SmugMug 等平台的 WordPress 图库插件）3.36 及之前版本存在未认证跨站脚本漏洞。攻击者无需登录即可注入恶意脚本，当用户访问被污染的页面时脚本会在其浏览器中执行。
影响范围
Photonic Gallery & Lightbox
Photonic Gallery & Lightbox for Flickr, SmugMug & Others 3.36 及之前版本。
漏洞详情
该漏洞属于反射型/存储型跨站脚本（XSS），成因是插件对用户可控输入未做充分的输出编码或过滤。未认证攻击者可构造包含恶意脚本的请求或内容，诱导受害者访问后脚本在受害者浏览器上下文中执行。
利用条件与风险
利用无需认证，攻击者可通过钓鱼链接或污染页面触发，可能导致会话劫持、页面篡改或敏感信息窃取。
修复建议
建议升级至 3.36 之后的修复版本；若暂无可用更新，可暂时禁用该插件或通过 WAF 过滤恶意脚本输入。
原始情报
Unauthenticated Cross Site Scripting (XSS) in Photonic Gallery & Lightbox for Flickr, SmugMug & Others <= 3.36 versions.