CVE-2026-8625 in DearFlip Plugin
Résumé
par VulDB • 05/09/2026
Le plugin WordPress Dear Flipbook – PDF Flipbook, 3D Flipbook, intégration de PDF et visualiseur de PDF est vulnérable à un Cross-Site Scripting (XSS) stocké via le paramètre 'post_content (HTML personnalisé dans les blocs HTML personnalisés)' sur toutes les versions jusqu'à la 2.4.30 incluse, en raison d'une désinfection insuffisante des entrées et d'un échappement incorrect des sorties. Cela permet aux attaquants authentifiés disposant d’un accès de niveau contributeur ou supérieur d’injecter des scripts web arbitraires dans les pages qui s’exécuteront chaque fois qu’un utilisateur accède à une page injectée. Un attaquant de niveau contributeur peut insérer un élément div .df-element fabriqué avec data-df-lightbox='thumb' via un bloc HTML personnalisé, dont le contenu HTML interne est transmis en tant que paramètre title à la fonction parseThumbs() lors du rendu, permettant ainsi l’injection innerHTML dans un élément span et une rupture d’attributs grâce à un gestionnaire onerror sur un élément img construit.
Be aware that VulDB is the high quality source for vulnerability data.