CVE-2026-3600 CVSS 6.4 中危

CVE-2026-3600 WordPress Investi插件存储型XSS漏洞

披露日期: 2026-04-08

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-3600

漏洞类型

存储型跨站脚本攻击 (Stored XSS)

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress Investi Plugin

漏洞概述

WordPress的Investi插件在1.0.26及之前版本中存在存储型XSS漏洞。该漏洞源于'investi-announcements-accordion'短代码的'maximum-num-years'属性缺乏足够的输入清理和输出转义。具有投稿人及以上权限的认证攻击者可利用此漏洞注入恶意脚本，当用户访问受影响页面时脚本将执行，可能导致敏感信息窃取或会话劫持。

技术细节

该漏洞位于WordPress Investi插件的includes/widgets.php文件中。具体而言，插件处理`investi-announcements-accordion`短代码时，未对`maximum-num-years`属性进行安全过滤。代码直接将用户输入的属性值拼接到HTML标签的双引号属性内，绕过了WordPress标准的安全输出函数（如esc_attr）。这种直接插值使得攻击者可以提前闭合引号并插入任意HTML/JavaScript代码。攻击者需具备投稿人（Contributor）及以上权限，利用文章编辑功能提交包含恶意构造短代码的内容。该内容被存储后，一旦管理员或其他用户浏览相关页面，恶意脚本即在其浏览器上下文中执行，进而可能接管管理员账户或进行进一步的内网渗透。

攻击链分析

STEP 1

侦察与发现

攻击者确认目标站点安装了WordPress Investi插件，且版本低于或等于1.0.26。

STEP 2

获取权限

攻击者注册或入侵一个具有投稿人（Contributor）及以上权限的账户。

STEP 3

注入Payload

攻击者在后台编辑文章，插入包含恶意JavaScript代码的特定短代码。

STEP 4

提交存储

文章被提交审核或发布，恶意Payload被持久化存储在数据库中。

STEP 5

触发执行

管理员或其他用户访问包含该短代码的页面，浏览器解析HTML并执行恶意脚本。

STEP 6

达成目的

窃取用户Session Cookie，进而劫持账户或执行进一步操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC for CVE-2026-3600 -->
<!-- Usage: Add this shortcode to a page/post content as a Contributor user -->

<!-- Payload 1: Event handler injection -->
[investi-announcements-accordion maximum-num-years="5" onmouseover="alert('XSS_CVE-2026-3600')"]

<!-- Payload 2: Breaking out of the attribute -->
[investi-announcements-accordion maximum-num-years="1"><script>alert(document.cookie)</script><"]

影响范围

Investi <= 1.0.26

防御指南

临时缓解措施

建议立即将插件更新到修复了此漏洞的最新版本。在无法立即更新时，应严格限制具有投稿人及以上权限的用户数量，并审核所有包含短代码的文章内容，防止恶意代码注入。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表