Scaricare i siti web che utilizzano prettyPhoto

Informazioni su prettyPhoto

prettyPhoto è un lightbox per jQuery, il tipo di componente che un tempo veniva incluso in quasi tutti i temi WordPress commerciali venduti sui grandi marketplace. Il clic su un’immagine o su un link a un video viene intercettato e il contenuto di destinazione si riapre in un overlay stilizzato sopra la pagina, con gallerie raggruppate, navigazione da tastiera e deep link basati sull’hash dell’URL. Stephane Caron ha pubblicato il plugin con licenza GPL v2 nel 2008, quando i componenti aggiuntivi JavaScript venivano distribuiti come archivi zip e copiati a mano nella cartella di un tema.

Poiché la libreria viene eseguita nel browser, il rilevamento è diretto e non dedotto, e lo script e il relativo foglio di stile compaiono nel sorgente della pagina di ogni sito che li carica. A ottobre 2026 registriamo prettyPhoto su 496.334 siti. Una lettura onesta di quel numero lo considera un censimento di ciò che è rimasto al suo posto, non un conteggio di decisioni prese di recente, perché il plugin è stato superato da overlay più moderni e dal comportamento nativo dei browser, e quasi nessuno lo aggiunge più a un progetto nuovo.

Un segnale di presenza è utile proprio quando è datato. I siti che servono ancora il plugin usano di solito un tema che non è più stato ricostruito dal giorno in cui è stato acquistato, il che tende ad accompagnarsi ad altri bundle obsoleti nella pagina, a estensioni senza patch e a un contratto di manutenzione scaduto. I ricercatori di sicurezza se ne interessano per una ragione più circoscritta, dato che le release più vecchie contenevano una vulnerabilità documentata di cross site scripting nella gestione dell’hash dell’URL, e una pagina che carica ancora il file merita un controllo. Le agenzie se ne interessano per una ragione commerciale, perché un front end fermo è la prova pubblica più chiara che una riprogettazione andava fatta già da tempo.

Il limite da dichiarare riguarda ciò che il rilevamento non riesce a distinguere. Vediamo che il file viene servito, ma non se un visitatore apra mai una galleria, e un tema che include la libreria in modo incondizionato viene registrato anche sulle pagine che non la richiamano mai. Per questo plugin non tracciamo nemmeno gli identificativi di release, quindi il dataset può indicare che un sito lo carica ma non quale build, il che significa che una verifica sulle vulnerabilità richiede comunque di scaricare direttamente il file.

La geografia segue i marketplace dei temi più che una qualche preferenza nazionale. Dei siti che osserviamo, 163.689 si trovano negli Stati Uniti, e l’estensione .com guida il mix dei domini, il che riflette dove i temi commerciali venivano venduti e ospitati e non va letto come un segno che altrove il plugin fosse raro. Una singola ricerca su un dominio non può mostrare una distribuzione di questo tipo. Verificare un indirizzo dice se quell’indirizzo carica la libreria, mentre l’elenco scaricabile indica quanto è grande la popolazione superstite, dove si concentra, cos’altro usano quei siti e con quale velocità l’insieme si sta riducendo man mano che i temi vengono finalmente sostituiti.