CVE-2026-5357 CVSS 6.4 中危

CVE-2026-5357 WordPress Download Manager存储型XSS漏洞

披露日期: 2026-04-09

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-5357

漏洞类型

存储型XSS

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress Download Manager

漏洞概述

WordPress Download Manager插件在3.3.52及以下版本中存在存储型跨站脚本漏洞。由于对'sid'参数缺乏足够的输入清理和输出转义，具有投稿者及以上权限的认证攻击者可注入恶意脚本，并在用户访问页面时执行。

技术细节

该漏洞位于'wpdm_members'短代码的处理逻辑中。User.php文件中的members()函数在提取用户提供的'sid'属性时未进行输入净化，直接通过update_post_meta()存储。随后在members.php模板渲染时，该值被直接回显到HTML的'id'属性中，且未应用esc_attr()函数进行转义。这使得攻击者能够注入JavaScript代码，该代码会持久存储并在目标用户浏览受影响页面时触发，从而劫持会话或执行恶意操作。

攻击链分析

STEP 1

步骤1

攻击者注册或登录拥有Contributor（投稿者）及以上权限的WordPress账户。

STEP 2

步骤2

攻击者创建或编辑一篇文章/页面。

STEP 3

步骤3

在内容中插入包含恶意Payload的wpdm_members短代码，例如：[wpdm_members sid='"><script>alert(1)</script>']。

STEP 4

步骤4

保存或发布文章，恶意Payload通过update_post_meta存储在数据库中。

STEP 5

步骤5

当管理员或其他用户访问该页面时，members.php渲染未转义的sid参数，导致XSS攻击执行。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- Stored XSS PoC via wpdm_members shortcode -->
<!-- Attacker payload in post content -->
[wpdm_members sid='"><script>alert(document.cookie)</script>']

<!-- Or using event handler in HTML attribute -->
[wpdm_members sid='x onmouseover=alert(1)']

影响范围

WordPress Download Manager <= 3.3.52

防御指南

临时缓解措施

在官方修复补丁发布前，建议暂时卸载或禁用Download Manager插件。如果必须使用，应限制用户注册和发布内容的权限，仅允许受信任的用户发布包含短代码的内容。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表