CVE-2026-15098: Stored XSS в WordPress-плагине Real 3D Flipbook через атрибут lightboxtext
В плагине Real 3D Flipbook для WordPress (версии до 5.1.1 включительно) обнаружена уязвимость хранимого межсайтового скриптинга (Stored XSS). Аутентифицированный злоумышленник с правами Contributor и выше может внедрить произвольный JavaScript в страницы сайта, который сработает при просмотре контента редактором или администратором. Уровень опасности — средний (CVSS 6.4).
Подробности
Проблема затрагивает Real 3D Flipbook версий до 5.1.1 включительно от разработчика creativeinteractivemedia. Уязвимость относится к классу Stored Cross-Site Scripting (CWE-79) и получает оценку CVSS 6.4 (MEDIUM). Причиной стала недостаточная очистка входных данных и экранирование вывода в функциях on_shortcode() и print_global_options(). Значения атрибутов шорткода копируются без изменений в $this->flipbook_options, а затем выводятся через wp_json_encode() внутри блока в значение атрибута и выйти за пределы контекста JSON-скрипта. Дополнительную опасность создаёт особенность WordPress: функция shortcode_parse_atts() применяет stripcslashes() к значениям атрибутов. В результате атакующий может закодировать прорывной тег как \x3c/script\x3e\x3cscript\x3e…\x3c/script\x3e — такая строка успешно проходит фильтр wp_kses_post, применяемый при сохранении контента Contributor, поскольку escape-последовательности являются обычным текстом, а не HTML-тегами. Настоящие угловые скобки появляются уже на этапе рендеринга. Таким образом, аутентифицированный атакующий с уровнем доступа Contributor и выше способен внедрить произвольные веб-скрипты в страницы. Код исполнится в браузере любого пользователя, открывшего заражённую страницу, — в первую очередь это редакторы и администраторы, проверяющие или модерирующие отложенную публикацию.Что делать
Основная рекомендация — как можно скорее обновить плагин Real 3D Flipbook до версии выше 5.1.1, если разработчик выпустил исправление. До установки патча целесообразно применить следующие меры: — ограничить число пользователей с ролью Contributor и пересмотреть текущие учётные записи с этим уровнем доступа; — ужесточить модерацию контента: проверять отложенные публикации перед предпросмотром в браузере; — рассмотреть временное отключение плагина, если 3D-флипбуки не используются на сайте; — внедрить CSP-политики и применять принцип наименьших привилегий для всех пользователей WordPress. Также рекомендуется провести аудит ранее опубликованного контента на предмет подозрительных вставок в шорткоды. Итог: CVE-2026-15098 демонстрирует, насколько опасной может быть комбинация неэкранированного вывода, особенностей парсинга шорткодов и «доверенных» ролей вроде Contributor. Несмотря на средний уровень CVSS, эксплуатация позволяет атаковать администраторов через их же интерфейс, поэтому обновление плагина и жёсткий контроль пользовательского контента остаются обязательными мерами защиты.Источник: CVE Project (cvelistV5)