CVE-2026-15098 in Real3D Flipbook Lite Plugin
摘要
由 VulDB • 2026-09-19
WordPress 插件 Real3D Flipbook Lite 在 5.1.1 及更早版本中存在存储型跨站脚本（Stored Cross-Site Scripting, XSS）漏洞，该漏洞可通过 'lightboxtext' 短代码属性（以及由 on_shortcode() 处理的其他未清理的属性）触发。此问题源于 on_shortcode() 和 print_global_options() 函数中缺乏足够的输入清理和输出转义：短代码属性的值被原样复制到 $this->flipbook_options，随后通过 wp_json_encode() 在 <script type="application/json"> 块中发出，但未使用 JSON_HEX_TAG 标志。这使得属性值中的字面量 </script> 字节序列能够突破 JSON 脚本上下文。由于 WordPress 的 shortcode_parse_atts() 会对属性值应用 stripcslashes()，攻击者可以将逃逸标签编码为 \x3c/script\x3e\x3cscript\x3e…\x3c/script\x3e。这种编码形式能够通过应用于贡献者（Contributor）内容的 wp_kses_post 保存时过滤器（因为转义字节是安全的文本字符，而非 HTML 标签），并在渲染时被解码为真实的尖括号。这使得具有贡献者及以上权限的认证攻击者能够在页面中注入任意 Web 脚本；当用户（通常是预览或审核待发布文章的编辑者或管理员）访问被注入的页面时，这些脚本将执行。
If you want to get best quality of vulnerability data, you may have to visit VulDB.