CVE-2026-39604 CVSS 5.9 中危

CVE-2026-39604: MyBookTable插件存储型XSS漏洞

披露日期: 2026-04-08

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-39604

漏洞类型

存储型跨站脚本

CVSS评分

5.9 中危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

需要交互 (UI:R)

影响产品

MyBookTable Bookstore (WordPress Plugin)

漏洞概述

zookatron MyBookTable Bookstore WordPress插件在3.6.0及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞由于在Web页面生成过程中未对用户输入进行适当的中和处理导致。具有高权限的攻击者可利用此漏洞在系统中注入恶意脚本，当其他用户浏览受污染的页面时触发，可能导致敏感信息泄露或会话劫持。

技术细节

该漏洞属于存储型跨站脚本攻击（Stored XSS）。MyBookTable Bookstore插件在处理特定数据输入（如书籍标题或描述）时，未能实施严格的输入验证和输出编码。攻击者需要具备高权限（PR:H），如管理员或编辑账户，才能在插件后台表单中提交包含JavaScript代码的恶意数据。该数据被持久化存储在数据库后，每当有权限的用户访问显示该数据的页面时（UI:R），恶意脚本便会在其浏览器上下文中执行。由于CVSS向量包含S:C（影响范围改变），攻击可能扩展到插件上下文之外。

攻击链分析

STEP 1

步骤1：获取高权限账户

攻击者通过钓鱼、暴力破解或利用其他漏洞获取WordPress后台管理员或编辑权限。

STEP 2

步骤2：注入恶意载荷

攻击者登录后台，在MyBookTable插件的管理界面中（如添加或编辑书籍信息），将恶意JavaScript代码注入到未经过滤的输入字段中。

STEP 3

步骤3：持久化存储

插件将包含恶意代码的数据保存到数据库中，未进行适当的转义或清洗。

STEP 4

步骤4：触发漏洞

当其他管理用户或具有高权限的用户访问包含该恶意数据的页面（如书籍列表页）时，浏览器解析并执行恶意脚本。

STEP 5

步骤5：执行攻击

恶意脚本运行，窃取用户的Session Cookie、执行未授权操作或重定向用户至恶意站点。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- Stored XSS PoC for CVE-2026-39604 -->
<!-- Affected Product: MyBookTable Bookstore <= 3.6.0 -->
<!-- Privileges Required: High (Admin/Editor) -->

<!-- Payload to inject into Book Title or Description field -->
<img src=x onerror=alert(document.cookie)>

<!-- Explanation: -->
<!-- 1. Log in as Admin/Editor.
<!-- 2. Navigate to the Add/Edit Book section.
<!-- 3. Enter the payload above into a vulnerable text field.
<!-- 4. Save the book.
<!-- 5. View the book list or details page to trigger the alert.

影响范围

MyBookTable Bookstore <= 3.6.0

防御指南

临时缓解措施

在官方发布修复补丁前，建议暂时禁用MyBookTable Bookstore插件。如果必须使用，应严格限制能够修改书籍数据的用户账户数量，并对后台访问进行IP白名单限制。同时，部署Web应用防火墙（WAF）以检测和阻断常见的XSS攻击载荷。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表