CVE-2026-15098

Wtyczka Real3D Flipbook Lite do WordPressa jest podatna na przechowywane skrypty między witrynami poprzez atrybut krótkiego kodu „lightboxtext” (i inne niezatwierdzone atrybuty obsługiwane przez on_shortcode()) w wersjach do 5.1.1 włącznie. Dzieje się tak z powodu niedostatecznej sanityzacji danych wejściowych i ucieczki danych wyjściowych w funkcjach on_shortcode() i print_global_options(): wartości atrybutów shortcode są kopiowane dosłownie do $this->flipbook_options, a następnie emitowane przez wp_json_encode() wewnątrz bloku <script type="application/json"> bez flagi JSON_HEX_TAG, umożliwiając dosłowną sekwencję bajtów </script> w wartości atrybutu na wyjście z Kontekst skryptu JSON. Ponieważ funkcja shortcode_parse_atts() WordPressa stosuje stripcslashes() do wartości atrybutów, atakujący może zakodować znacznik przerwania jako \x3c/script\x3e\x3cscript\x3e…\x3c/script\x3e, który przetrwa filtr oszczędzający czas wp_kses_post zastosowany do treści dostawcy (bajty ucieczki to bezpieczne znaki tekstowe, a nie znaczniki HTML) i jest dekodowany do rzeczywistych nawiasów ostrych w czas renderowania. Dzięki temu uwierzytelnieni atakujący z dostępem na poziomie dostawcy i wyższym mogą wstrzykiwać dowolne skrypty internetowe na strony, które będą uruchamiane za każdym razem, gdy użytkownik (zwykle redaktor lub administrator przeglądający/moderujący oczekujący post) uzyska dostęp do wstrzykniętej strony.