CVE-2026-4665 CVSS 6.4 中危

CVE-2026-4665: WP Carousel Free存储型XSS漏洞

披露日期: 2026-05-05

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-4665

漏洞类型

存储型跨站脚本攻击 (Stored XSS)

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WP Carousel Free WordPress Plugin

漏洞概述

WP Carousel Free插件在2.7.10及之前版本存在存储型XSS漏洞。该漏洞源于插件未对DOM ID进行清理，攻击者可利用畸形ID导致JS初始化失败并触发回退机制，将`data-caption`属性内容直接渲染为HTML。具备贡献者权限的攻击者可借此在页面中注入恶意脚本，诱导用户点击图片后执行任意代码。

技术细节

该漏洞的核心机制在于`fancybox-config.js`脚本直接从DOM读取轮播容器的`id`属性来构建jQuery选择器，且未进行任何净化。当权限为贡献者或以上的攻击者创建包含非法字符（如方括号）的ID时，脚本会抛出JavaScript错误，导致自定义fancybox配置初始化失败。此时，系统回退到fancybox库（v3.5.7）的默认标题处理模式，直接将`data-caption`属性值解析为原始HTML。由于WordPress的`wp_kses_post()`函数允许保留`data-*`属性，攻击者可轻易绕过过滤，在`data-caption`中封装恶意Payload。受害者只需点击页面中的轮播图片，即可触发XSS攻击，导致Cookie窃取或会话劫持。此漏洞巧妙利用了前端错误处理逻辑的缺陷。

攻击链分析

STEP 1

1. 获取权限

攻击者注册或入侵一个具有Contributor（贡献者）及以上权限的WordPress账户。

STEP 2

2. 构造Payload

攻击者在编辑器中创建一个HTML块，插入包含非法字符（如'['）的ID，并在`data-caption`属性中注入恶意JavaScript代码。

STEP 3

3. 提交内容

将该HTML块保存到页面或文章中并发布（或提交审核）。由于`wp_kses_post()`允许data属性，内容不会被过滤。

STEP 4

4. 触发漏洞

普通用户访问该页面，当用户点击轮播图片试图查看大图时，fancybox初始化失败并回退渲染。

STEP 5

5. 执行攻击

`data-caption`中的恶意脚本作为HTML执行，在用户浏览器中运行XSS Payload。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC for CVE-2026-4665 -->
<!-- Step 1: Create a block with a malformed ID (e.g., containing brackets) -->
<!-- This causes the jQuery selector in fancybox-config.js to fail -->
<div id="wpcf-carousel[malformed_id]" class="wpcf-gallery">
    
    <!-- Step 2: Inject malicious script in data-caption -->
    <!-- When fancybox falls back to default, this renders as HTML -->
    <a href="https://example.com/image.jpg" 
       data-fancybox="gallery" 
       data-caption="<img src=x onerror=alert('CVE-2026-4665')>">
        
        <img src="https://example.com/thumb.jpg" alt="Safe Image">
    </a>
    
</div>

影响范围

WP Carousel Free <= 2.7.10

防御指南

临时缓解措施

如果无法立即升级，建议暂时禁用WP Carousel Free插件。管理员应检查站点内容，删除所有包含异常ID属性或可疑`data-caption`内容的轮播组件，并对已发布的文章进行安全审计，以移除可能存在的恶意脚本。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表