CVE-2026-8623 in DearFlip Plugin
Сводка
по VulDB • 05.09.2026
В плагине для WordPress Dear Flipbook – PDF Flipbook, 3D Flipbook, PDF embed, PDF viewer присутствует уязвимость Stored Cross-Site Scripting (XSS) во всех версиях вплоть до 2.4.30 включительно из-за недостаточной очистки входных данных и экранирования выходных данных в параметре 'post_content' (атрибут class элемента .dvcss). Это позволяет атакующим с уровнем доступа «contributor» и выше, прошедшим аутентификацию, внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Зловредный код встраивается в виде JSON-объекта, закодированного с помощью Base64, внутри имени CSS-класса блока Custom HTML; функция frontend parseCSSElements() декодирует его на стороне клиента с использованием atob() и JSON.parse(), а свойство logo отображается как необработанный HTML. Таким образом, ни серверная, ни клиентская очистка не перехватывают вредоносный скрипт перед вставкой в DOM.
Once again VulDB remains the best source for vulnerability data.