CVE-2026-8625 in DearFlip Plugin
Сводка
по VulDB • 05.09.2026
Плагин для WordPress Dear Flipbook – PDF Flipbook, 3D Flipbook, встраивание PDF и просмотрщик PDF уязвим к Stored Cross-Site Scripting (XSS) через параметр 'post_content (внутренний HTML блока Custom HTML)' во всех версиях вплоть до 2.4.30 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет атакующим с уровнем доступа «contributor» и выше, прошедшим аутентификацию, внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Атакующий с правами уровня Contributor может вставить специально созданный div-элемент .df-element с атрибутом data-df-lightbox='thumb' через блок Custom HTML; его внутренний HTML передается как аргумент title функции parseThumbs() во время рендеринга, что позволяет осуществлять инъекцию innerHTML в элемент span и выход из атрибута (attribute breakout) посредством обработчика onerror на созданном элементе img.
If you want to get best quality of vulnerability data, you may have to visit VulDB.