Websites herunterladen, die prettyPhoto nutzen

Über prettyPhoto

prettyPhoto ist eine Lightbox für jQuery, also genau die Art Komponente, die früher in fast jedem kommerziellen WordPress-Theme der großen Marktplätze steckte. Ein Klick auf ein Bild oder einen Videolink wird abgefangen, und das Ziel öffnet sich in einem gestalteten Overlay über der Seite, mit gruppierten Galerien, Tastaturnavigation und Deep-Links über den URL-Hash. Stephane Caron veröffentlichte das Plugin 2008 unter der Lizenz GPL v2, zu einer Zeit, als Erweiterungen für JavaScript noch als ZIP-Archive verteilt und von Hand in ein Theme-Verzeichnis kopiert wurden.

Da die Bibliothek im Browser läuft, ist die Erkennung direkt und nicht bloß erschlossen, denn das Skript und sein Stylesheet stehen im Quelltext jeder Website, die sie lädt. Stand Oktober 2026 erkennen wir prettyPhoto auf 153.777 Websites. Nüchtern betrachtet ist die Zahl eine Bestandsaufnahme dessen, was stehen geblieben ist, und keine Zählung von Entscheidungen aus jüngerer Zeit, denn das Plugin wurde von neueren Overlays und vom nativen Verhalten der Browser abgelöst, und kaum jemand baut es noch in ein neues Projekt ein.

Ein Fund ist gerade dann nützlich, wenn er auf Veraltetes hinweist. Websites, die das Plugin noch ausliefern, laufen meist mit einem Theme, das seit dem Tag des Kaufs nie neu aufgebaut wurde, und damit gehen oft alte Bundles an anderer Stelle der Seite, ungepatchte Erweiterungen und ein ausgelaufener Wartungsvertrag einher. Sicherheitsforscher interessieren sich aus einem engeren Grund dafür: Ältere Releases hatten eine dokumentierte Cross-Site-Scripting-Schwachstelle in der Verarbeitung des URL-Hashs, und eine Seite, die die Datei noch lädt, ist einen Blick wert. Agenturen interessiert das aus geschäftlichen Gründen, denn ein eingefrorenes Frontend ist der deutlichste öffentliche Beleg dafür, dass ein Redesign überfällig ist.

Eine Grenze sollte man klar benennen, nämlich das, was die Erkennung nicht auseinanderhalten kann. Wir sehen, dass die Datei ausgeliefert wird, aber nicht, ob ein Besucher je eine Galerie öffnet, und ein Theme, das die Bibliothek grundsätzlich mitlädt, wird auch auf Seiten erkannt, die sie nie aufrufen. Versionskennungen erfassen wir für dieses Plugin ebenfalls nicht. Der Datensatz zeigt Ihnen also, dass eine Website es lädt, aber nicht, welchen Build. Für eine Schwachstellenprüfung müssen Sie die Datei deshalb weiterhin direkt abrufen.

Die Geografie folgt den Theme-Marktplätzen und nicht einer nationalen Vorliebe. 46.743 der erkannten Websites werden in den USA gehostet, und bei den Domains führt die Endung .com, was eher widerspiegelt, wo kommerzielle Themes verkauft und gehostet wurden, als dass das Plugin anderswo selten gewesen wäre. Eine einzelne Domain-Abfrage kann eine geografische Verteilung nicht abbilden. Die Prüfung einer Adresse zeigt, ob genau diese Adresse die Bibliothek lädt, die herunterladbare Liste dagegen, wie groß der verbliebene Bestand ist, wo er sich ballt, was diese Websites sonst noch einsetzen und wie schnell er schrumpft, während Themes endlich ersetzt werden.