CVE-2026-2432 CVSS 4.4 中危

CVE-2026-2432 WordPress CM Custom Reports插件存储型XSS漏洞

披露日期: 2026-03-20

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-2432

漏洞类型

存储型跨站脚本 (Stored XSS)

CVSS评分

4.4 中危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

CM Custom Reports WordPress Plugin

漏洞概述

WordPress的CM Custom Reports插件在1.2.7及之前版本中存在存储型XSS漏洞。由于缺乏输入清理和输出转义，具有管理员权限的攻击者可以在管理设置中注入恶意脚本。当用户访问受感染的页面时，脚本将会执行。该漏洞主要影响多站点安装或禁用了unfiltered_html功能的站点。

技术细节

该漏洞源于插件在后端处理管理员设置时，对用户提交的数据缺乏充分的输入验证和输出编码。特别是在GraphModule.php等模块中，特定参数未经过滤即被存储。攻击者利用管理员账户权限，将Payload注入到易受攻击的字段中。由于WordPress多站点环境下默认禁用了unfiltered_html权限，该漏洞允许攻击者绕过部分安全限制。恶意脚本被持久化存储在数据库中，一旦其他管理员访问受影响的页面，脚本便在浏览器端触发，可能导致会话劫持或权限提升。

攻击链分析

STEP 1

1. 权限获取

攻击者获取目标WordPress站点的管理员级别账户权限。

STEP 2

2. 注入Payload

攻击者访问插件的后台设置页面，在存在缺陷的输入框中注入恶意JavaScript代码。

STEP 3

3. 持久化存储

插件将未经过滤的恶意数据保存到数据库中。

STEP 4

4. 触发漏洞

当其他管理员或用户访问包含该数据的页面时，恶意脚本在浏览器中执行。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC: Stored XSS via Admin Settings -->
<!-- Step 1: Log in as Administrator -->
<!-- Step 2: Navigate to CM Custom Reports settings -->
<!-- Step 3: Inject payload into a vulnerable field (e.g., Graph Title/Label) -->
<script>alert(document.cookie);</script>
<!-- Step 4: Save settings. The script executes when the setting page is loaded again. -->

影响范围

CM Custom Reports Plugin <= 1.2.7

防御指南

临时缓解措施

建议立即将CM Custom Reports插件更新至最新版本以修补此漏洞。若无法立即更新，应暂时禁用该插件，并严格审查管理员账户的活动日志，确保没有异常的配置更改。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表