CVE-2026-4073 CVSS 6.4 中危

CVE-2026-4073 WordPress pdfl.io插件存储型XSS漏洞

披露日期: 2026-04-08

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-4073

漏洞类型

存储型跨站脚本攻击

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress pdfl.io 插件

漏洞概述

WordPress的pdfl.io插件在所有1.0.5及之前的版本中存在存储型跨站脚本（XSS）漏洞。该漏洞主要由于`pdflio`短代码处理函数中，对用户输入的`text`属性缺乏充分的输入清理和输出转义。拥有贡献者或更高权限的经过身份验证的攻击者，可以利用此漏洞在页面中注入任意Web脚本，导致访问该页面的用户受到攻击。

技术细节

该漏洞位于WordPress pdfl.io插件的`output_shortcode()`函数中。当插件处理`[pdflio]`短代码时，会接收用户提供的`text`参数。由于代码未对`$text`变量应用`esc_html()`或其他转义函数，而是直接将其拼接到HTML输出中，导致了存储型XSS漏洞。攻击者只需要具备WordPress的“贡献者”及以上权限，即可在发布文章或页面时，通过构造恶意的短代码参数将JavaScript代码存储到服务器数据库中。一旦管理员或其他用户浏览该页面，恶意脚本便会在其浏览器上下文中执行，从而窃取Cookie、会话令牌或进行其他恶意操作。

攻击链分析

STEP 1

1. 获取权限

攻击者注册或获取一个至少具有“贡献者”权限的WordPress账户。

STEP 2

2. 植入恶意代码

攻击者在发布文章或页面时，插入包含恶意JavaScript的`[pdflio]`短代码。

STEP 3

3. 存储Payload

恶意内容被保存到数据库中，未经过滤直接存储。

STEP 4

4. 触发漏洞

当管理员或其他用户访问包含该短代码的页面时，服务器输出未转义的HTML。

STEP 5

5. 执行攻击

受害者的浏览器解析并执行注入的脚本，攻击者可窃取凭证或执行恶意操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC for CVE-2026-4073: Stored XSS in pdfl.io plugin -->
<!-- Inject this payload into a WordPress post/page content -->
[pdflio text="<img src=x onerror=alert('XSS')>"]

<!-- Explanation: -->
<!-- The 'text' attribute is directly echoed into HTML without escaping. -->

影响范围

pdfl.io <= 1.0.5

防御指南

临时缓解措施

如果无法立即升级插件，建议暂时禁用pdfl.io插件，并检查网站内容中是否包含恶意的`[pdflio]`短代码。对于未升级的站点，应严格限制注册用户的权限，防止未经验证的用户发布内容。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表