CVE-2025-12590 CVSS 6.1 中危

CVE-2025-12590 YSlider WordPress插件CSRF存储型XSS漏洞

披露日期: 2025-11-11

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-12590

漏洞类型

CSRF + 存储型XSS

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

YSlider WordPress插件

漏洞概述

CVE-2025-12590是WordPress的YSlider插件中存在的一个安全漏洞，CVSS评分为6.1（中危）。该漏洞允许未经身份验证的攻击者通过跨站请求伪造（CSRF）攻击在受影响的WordPress网站上注入任意Web脚本（存储型XSS）。漏洞的根本原因在于content configuration页面缺少nonce验证机制，同时对用户输入的过滤不足且输出转义不完善。攻击者需要诱导WordPress管理员点击恶意链接或访问包含攻击代码的页面，一旦攻击成功，注入的恶意脚本将在管理员或用户访问被注入页面时自动执行，可能导致会话劫持、敏感信息窃取、恶意重定向等安全问题。此漏洞影响YSlider插件1.1及以下所有版本。

技术细节

YSlider插件的content-config.php文件存在安全缺陷。在第2行和第48行附近，代码直接处理用户提交的参数而未进行充分的nonce验证，导致攻击者可以绕过CSRF保护机制构造恶意请求。同时，插件对用户输入的content配置数据缺乏有效的输入验证和输出转义处理，使得恶意JavaScript代码可以被存储到数据库中。当其他用户访问包含恶意内容的页面时，浏览器会执行这些注入的脚本代码。攻击者利用此漏洞可以窃取管理员的认证cookie、修改网站内容或进行进一步的攻击。由于攻击复杂度较低（AC:L），且不需要特殊权限（PR:N），使得该漏洞容易被利用，但需要用户交互（UI:R）作为触发条件。

攻击链分析

STEP 1

步骤1

攻击者创建包含恶意表单的HTML页面，该表单指向YSlider插件的content configuration端点

STEP 2

步骤2

攻击者通过钓鱼邮件、社交工程或其他方式诱导WordPress管理员访问恶意HTML页面

STEP 3

步骤3

管理员浏览器自动向目标站点发送POST请求，由于缺少nonce验证，请求被插件接受

STEP 4

步骤4

恶意JavaScript代码被存储到数据库中，植入到YSlider配置数据

STEP 5

步骤5

当用户访问包含被污染内容的页面时，注入的脚本自动执行，导致Cookie窃取或会话劫持

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CSRF PoC for YSlider Stored XSS -->
<html>
  <body>
    <form action="http://target-wordpress-site/wp-admin/admin.php?page=yslider_content_config" method="POST" id="exploit">
      <input type="hidden" name="yslider_content" value="<script>alert(document.cookie)</script>" />
      <input type="submit" value="Submit" />
    </form>
    <script>
      document.getElementById('exploit').submit();
    </script>
  </body>
</html>

影响范围

YSlider WordPress插件 <= 1.1

防御指南

临时缓解措施

如果无法立即升级插件，可临时采取以下措施：1) 在Web应用防火墙（WAF）中添加针对此类CSRF/XSS攻击的规则；2) 限制管理员账户的使用，避免使用管理员账户浏览不可信网站；3) 监控admin-post.php和admin-ajax.php的异常请求；4) 考虑暂时禁用YSlider插件直至完成安全更新。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表