CVE-2025-15696

ŚrednieCVSS 6.8

Opublikowano: 23/09/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Real3D Flipbook w wersji przed 5.4 nie sanityzuje ani nie escapuje kilku pól edytora flipbooka przed wyświetleniem ich w edytorze administracyjnym. Umożliwia to użytkownikom z rolą Author i wyższą wstrzyknięcie dowolnych skryptów internetowych, które wykonają się w przeglądarce każdego użytkownika otwierającego flipbook do edycji, w tym administratorów.

Ocena ryzyka

Atakujący z uprawnieniami Author może przeprowadzić atak typu stored XSS wymierzony w administratorów, co może prowadzić do przejęcia sesji lub wykonania działań w kontekście uprawnień administratora.

Rekomendacja

Zaktualizuj wtyczkę Real3D Flipbook do wersji 5.4 lub nowszej. Ogranicz liczbę kont z rolą Author do niezbędnego minimum.

Inne podatności w Real3D Flipbook WordPress plugin

CVE-2026-86842Średnie
Wtyczka WordPress Real3D Flipbook w wersji przed 5.4 nie sprawdza uprawnień w kilku akcjach zarządzania flipbookami dostępnych dla zalogowanych użytkowników. Umożliwia to użytkownikom z rolą Author i wyższą usuwanie flipbooków innych użytkowników oraz nadpisywanie globalnych ustawień zarezerwowanych dla administratora, co można wykorzystać do zapisania złośliwego kodu JavaScript.

Oryginalny opis (angielski, źródło NVD)

The Real3D Flipbook WordPress plugin before 5.4 does not sanitize or escape several flipbook editor fields before rendering them back in the admin editor, allowing users with the Author role and above to inject arbitrary web scripts that execute in the browser of any user who later opens the affected flipbook for editing, including administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS