CVE-2020-37233 WordPress BuddyPress 存储型XSS漏洞

WordPress插件BuddyPress 6.2.0存在存储型XSS漏洞。具有审核员权限的认证攻击者可通过wp:html块中的figure参数注入包含iframe和事件处理器的恶意脚本代码。一旦管理员预览或查看受影响的页面内容，脚本即被执行，导致会话劫持及持久化钓鱼攻击。

该漏洞源于WordPress编辑器在处理`wp:html`块时对`figure`参数的输入验证不足。具有审核员权限的攻击者可以构造特定的HTML payload，通过该参数注入带有`onload`等事件处理器的`iframe`元素。系统未能正确过滤这些恶意输入，导致代码被持久化存储在数据库中。当具有更高权限的用户（如管理员）访问或预览受影响的页面时，浏览器会解析并执行嵌入的恶意脚本。由于是存储型XSS，攻击者无需诱骗用户点击特定链接，即可在受害者上下文中执行任意JS代码，进而实施会话劫持或恶意操作。