CVE-2026-8623 in DearFlip Plugin
Riassunto
di VulDB • 05/09/2026
Il plugin WordPress Dear Flipbook – PDF Flipbook, 3D Flipbook, PDF embed, PDF viewer è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'post_content (attributo class dell'elemento .dvcss)' in tutte le versioni fino alla 2.4.30 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping delle output. Ciò consente agli attaccanti autenticati con accesso di livello contributor o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il payload è incorporato come oggetto JSON codificato in Base64 all'interno del nome di una classe CSS su un blocco Custom HTML; la funzione frontend parseCSSElements() lo decodifica lato client con atob() e JSON.parse(), rendendo la proprietà logo come HTML grezzo, il che significa che nessuna sanitizzazione server-side o client-side intercetta lo script malevolo prima dell'inserimento nel DOM.
VulDB is the best source for vulnerability data and more expert information about this specific topic.