CVE-2026-2951 CVSS 5.4 中危

CVE-2026-2951 WordPress Gutentor插件存储型XSS漏洞

披露日期: 2026-04-23

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-2951

漏洞类型

存储型跨站脚本攻击 (Stored XSS)

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

Gutentor – Gutenberg Blocks – Page Builder for Gutenberg Editor

漏洞概述

WordPress Gutentor插件在3.5.5及之前版本存在存储型跨站脚本（XSS）漏洞。该漏洞源于输入清理和输出转义不足。具有投稿人及以上权限的认证攻击者可利用此漏洞在页面中注入恶意Web脚本，当其他用户访问被注入的页面时，脚本将自动执行，可能导致账户劫持或恶意操作。

技术细节

该漏洞属于典型的存储型跨站脚本攻击（Stored XSS）。Gutentor插件在处理Gutenberg编辑器中的块数据时，未对用户提交的特定参数进行严格的输入验证和输出转义。攻击者利用WordPress的投稿人权限，创建或编辑包含Gutentor块的页面，并在块属性字段中注入恶意的JavaScript代码（如事件处理器或script标签）。由于后端缺乏有效的过滤机制，该恶意载荷被持久化存储在数据库中。当具有更高权限的用户（如管理员）访问受感染的页面进行审核或浏览时，浏览器会解析并执行该恶意脚本，从而在受害者的浏览器上下文中运行攻击者代码，窃取Cookie、会话令牌或执行未授权的管理操作。

攻击链分析

STEP 1

1. 权限获取

攻击者注册或获取一个具有Contributor（投稿人）及以上权限的WordPress账户。

STEP 2

2. 载荷注入

攻击者登录后台，使用Gutentor插件创建或编辑一个页面，在块属性字段中插入恶意JavaScript代码。

STEP 3

3. 数据存储

由于插件未对输入进行充分过滤，恶意代码被保存到WordPress数据库中。

STEP 4

4. 触发漏洞

攻击者诱使管理员或其他用户访问包含该恶意块的页面。

STEP 5

5. 代码执行

受害者的浏览器渲染页面时解析并执行恶意脚本，导致敏感信息泄露或会话被劫持。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC for Stored XSS in Gutentor Plugin -->
<!-- Attacker injects payload into a block attribute -->
<div class="gutentor-module" data-style="background-image: url('javascript:alert(1)')">
  Malicious Block Content
</div>

<!-- Alternative payload using event handlers -->
<img src=x onerror="console.log('XSS executed - ' + document.cookie)">

影响范围

Gutentor <= 3.5.5

防御指南

临时缓解措施

建议立即将插件更新到修复版本。如果无法立即更新，应暂时禁用该插件，或严格限制编辑器的使用权限，仅允许受信任的用户发布内容，并实施手动代码审核机制。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表