CVE-2025-12712 CVSS 6.4 中危

CVE-2025-12712 WordPress Shouty插件存储型XSS漏洞

披露日期: 2025-11-27

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-12712

漏洞类型

存储型跨站脚本(XSS)

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress Shouty插件

漏洞概述

CVE-2025-12712是WordPress Shouty插件中的一个存储型跨站脚本(XSS)漏洞。该插件是WordPress的一个短代码扩展插件，用于在文章和页面中显示弹幕式评论。漏洞存在于shouty短代码的处理逻辑中，由于插件对用户提供的属性参数缺乏充分的输入清理和输出转义处理，导致恶意JavaScript代码可以被注入到网页内容中。由于漏洞属于存储型XSS，攻击者注入的恶意代码会永久保存在数据库中，任何访问包含该短代码页面的用户都会触发执行，从而造成会话劫持、敏感信息窃取等安全风险。攻击者需要拥有WordPress网站的Contributor级别或更高权限账户才能利用此漏洞，这降低了漏洞被利用的门槛，因为Contributor角色在WordPress中是一个相对较低的权限级别。

技术细节

该漏洞的技术根源在于Shouty插件的shouty.php文件第138和139行代码对短代码属性的处理方式。插件使用WordPress的do_shortcode钩子注册shouty短代码，当用户在文章或页面中插入[shouty]短代码并提供属性参数时，插件直接将这些属性值回显到HTML输出中而未进行适当的转义处理。攻击者可以通过构造恶意的属性值，如在属性中嵌入JavaScript事件处理器或script标签，实现任意JavaScript代码的执行。由于输出时缺少esc_html()或esc_attr()等WordPress安全转义函数的保护，用户输入被直接插入到HTML上下文中。漏洞的存储特性意味着攻击只需执行一次，后续所有访问该页面的用户都会自动执行恶意脚本，形成持续性的攻击向量。攻击者可以利用此漏洞窃取管理员cookies、进行钓鱼攻击或重定向用户到恶意网站。

攻击链分析

STEP 1

步骤1

攻击者获取WordPress网站的Contributor级别或更高权限账户

STEP 2

步骤2

攻击者创建或编辑文章/页面，插入包含恶意JavaScript代码的shouty短代码

STEP 3

步骤3

短代码被保存到数据库中，恶意代码作为页面内容的一部分存储

STEP 4

步骤4

其他用户访问包含该短代码的页面时，浏览器解析HTML并执行注入的JavaScript代码

STEP 5

步骤5

恶意脚本执行后可窃取用户会话Cookie、劫持账户或进行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2025-12712 PoC: Stored XSS via shouty shortcode -->
<!-- Requires Contributor-level access or higher in WordPress -->

<!-- Method 1: Using event handler in attribute -->
[shouty author="test" onmouseover="alert(document.cookie)" style="cursor:pointer"]

<!-- Method 2: Using JavaScript URI in link -->
[shouty url="javascript:alert('XSS')"]

<!-- Method 3: Using script injection in author name -->
[shouty author="<script>alert(document.domain)</script>"]

<!-- Method 4: Using img tag with onerror handler -->
[shouty author="test" avatar="x" onerror="eval(atob('YWxlcnQoJ1hTUyBFeHBsb2l0ZWQnKQ=='))"]

影响范围

WordPress Shouty插件 < 0.2.1

防御指南

临时缓解措施

如果无法立即升级插件，可以通过WordPress主题的functions.php文件添加临时过滤器禁用shouty短代码，或使用WAF(Web应用防火墙)规则拦截包含可疑JavaScript代码的请求。同时审查所有使用shouty短代码的文章，移除可能的恶意内容。建议管理员启用双因素认证并监控用户活动日志，以便及时发现异常行为。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表