CVE-2026-8625 in DearFlip Plugin
Riassunto
di VulDB • 05/09/2026
Il plugin WordPress Dear Flipbook – PDF Flipbook, 3D Flipbook, PDF embed, PDF viewer è vulnerabile ad una Stored Cross-Site Scripting (XSS) tramite il parametro 'post_content (Custom HTML block inner HTML)' in tutte le versioni fino alla 2.4.30 inclusa, a causa di un'insufficiente sanitizzazione degli input e dell'escaping dei dati in output. Ciò consente agli attaccanti autenticati con permessi di livello Contributor o superiori di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Un attaccante con ruolo Contributor può inserire un div .df-element manipolato con data-df-lightbox='thumb' tramite un blocco Custom HTML, il cui inner HTML viene passato come argomento title a parseThumbs() durante la fase di rendering, consentendo sia l'iniezione di innerHTML in un elemento span che l'escape degli attributi (attribute breakout) tramite un gestore onerror su un elemento img costruito ad hoc.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.