CVE-2026-8625

ŚrednieCVSS 6.4

Opublikowano: 05/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka Dear Flipbook – PDF Flipbook, 3D Flipbook, PDF embed, PDF viewer dla WordPressa jest podatna na trwały atak XSS przez parametr 'post_content (Custom HTML block inner HTML)' we wszystkich wersjach do 2.4.30 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atakujący może wstawić spreparowany div .df-element z data-df-lightbox='thumb' przez blok Custom HTML, którego wewnętrzny HTML jest przekazywany jako argument tytułu do parseThumbs() w czasie renderowania, umożliwiając wstrzyknięcie innerHTML do elementu span oraz atrybut breakout przez onerror na skonstruowanym elemencie img.

Ocena ryzyka

Ryzyko obejmuje przejęcie sesji użytkowników, kradzież danych oraz rozprzestrzenianie złośliwego oprogramowania w kontekście zaufanej strony WordPress.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji z poprawką. Należy również ograniczyć uprawnienia użytkowników i stosować zasady bezpiecznego kodowania.

Inne podatności w Dear Flipbook

CVE-2026-8623Średnie
Wtyczka Dear Flipbook – PDF Flipbook, 3D Flipbook, PDF embed, PDF viewer dla WordPressa jest podatna na trwały atak XSS przez parametr 'post_content (class attribute of .dvcss element)' we wszystkich wersjach do 2.4.30 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Payload jest osadzony jako zakodowany w Base64 obiekt JSON w nazwie klasy CSS na bloku Custom HTML; funkcja parseCSSElements() po stronie frontendu dekoduje go po stronie klienta za pomocą atob() i JSON.parse() i renderuje właściwość logo jako surowy HTML, co oznacza, że żadna sanityzacja po stronie serwera ani klienta nie przechwytuje złośliwego skryptu przed wstawieniem do DOM.

Oryginalny opis (angielski, źródło NVD)

The Dear Flipbook – PDF Flipbook, 3D Flipbook, PDF embed, PDF viewer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'post_content (Custom HTML block inner HTML)' parameter in all versions up to, and including, 2.4.30 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. A Contributor-level attacker can insert a crafted .df-element div with data-df-lightbox='thumb' via a Custom HTML block, whose inner HTML is passed as the title argument to parseThumbs() at render time, enabling both innerHTML injection into a span element and attribute breakout via an onerror handler on a constructed img element.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS