CVE-2026-8623

ŚrednieCVSS 6.4

Opublikowano: 05/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka Dear Flipbook – PDF Flipbook, 3D Flipbook, PDF embed, PDF viewer dla WordPressa jest podatna na trwały atak XSS przez parametr 'post_content (class attribute of .dvcss element)' we wszystkich wersjach do 2.4.30 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Payload jest osadzony jako zakodowany w Base64 obiekt JSON w nazwie klasy CSS na bloku Custom HTML; funkcja parseCSSElements() po stronie frontendu dekoduje go po stronie klienta za pomocą atob() i JSON.parse() i renderuje właściwość logo jako surowy HTML, co oznacza, że żadna sanityzacja po stronie serwera ani klienta nie przechwytuje złośliwego skryptu przed wstawieniem do DOM.

Ocena ryzyka

Ryzyko obejmuje przejęcie sesji użytkowników, kradzież danych oraz rozprzestrzenianie złośliwego oprogramowania w kontekście zaufanej strony WordPress.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji z poprawką. Należy również ograniczyć uprawnienia użytkowników i stosować zasady bezpiecznego kodowania.

Inne podatności w Dear Flipbook

CVE-2026-8625Średnie
Wtyczka Dear Flipbook – PDF Flipbook, 3D Flipbook, PDF embed, PDF viewer dla WordPressa jest podatna na trwały atak XSS przez parametr 'post_content (Custom HTML block inner HTML)' we wszystkich wersjach do 2.4.30 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atakujący może wstawić spreparowany div .df-element z data-df-lightbox='thumb' przez blok Custom HTML, którego wewnętrzny HTML jest przekazywany jako argument tytułu do parseThumbs() w czasie renderowania, umożliwiając wstrzyknięcie innerHTML do elementu span oraz atrybut breakout przez onerror na skonstruowanym elemencie img.

Oryginalny opis (angielski, źródło NVD)

The Dear Flipbook – PDF Flipbook, 3D Flipbook, PDF embed, PDF viewer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'post_content (class attribute of .dvcss element)' parameter in all versions up to, and including, 2.4.30 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The payload is embedded as a Base64-encoded JSON object in a CSS class name on a Custom HTML block; the frontend parseCSSElements() function decodes it client-side with atob() and JSON.parse() and renders the logo property as raw HTML, meaning no server-side or client-side sanitization intercepts the malicious script before DOM insertion.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS