CVE-2026-6415 CVSS 6.4 中危

CVE-2026-6415: WordPress Font Awesome插件存储型XSS漏洞

披露日期: 2026-05-15

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-6415

漏洞类型

存储型跨站脚本

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Advanced Custom Fields: Font Awesome (WordPress Plugin)

漏洞概述

WordPress插件Advanced Custom Fields: Font Awesome在5.0.2及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于对JSON字段值的输入验证不足以及JavaScript函数`update_preview()`中客户端HTML构造不安全。这使得拥有订阅者及以上权限的经过身份验证的攻击者能够注入任意Web脚本。一旦用户访问被注入的页面，恶意脚本即会自动执行，可能导致数据窃取或会话劫持。

技术细节

该漏洞的核心在于前端JavaScript处理JSON数据时缺乏有效的安全过滤机制。具体而言，在插件的`update_preview()` JavaScript函数中，代码直接将用户可控的JSON字段值拼接到HTML DOM结构中进行渲染，而在拼接前未对特殊字符（如`<`, `>`, `"`）进行HTML实体编码或转义。攻击者可利用此缺陷，构造包含恶意JavaScript代码的JSON payload（例如`{"icon":"<img src=x onerror=alert(1)>"}`）。当管理员或其他用户浏览包含该字段的页面时，浏览器会解析并执行该恶意脚本。由于是存储型漏洞，恶意代码会持久化存储在数据库中，且攻击门槛较低（仅需订阅者权限），这使得该漏洞具有较高的安全风险，常被用于窃取Cookie、提升权限或进行钓鱼攻击。

攻击链分析

STEP 1

侦察

攻击者识别目标网站安装了Advanced Custom Fields: Font Awesome插件，且版本低于等于5.0.2。

STEP 2

获取访问权限

攻击者注册或通过其他方式获取一个低权限账户（如订阅者 Subscriber）。

STEP 3

注入Payload

攻击者登录后台，在编辑页面或个人资料时，向Font Awesome字段输入包含恶意脚本的JSON数据。

STEP 4

存储

由于缺乏输入验证，恶意脚本被保存到WordPress数据库中。

STEP 5

触发执行

当管理员或其他用户访问包含该恶意数据的页面时，`update_preview()`函数解析JSON并渲染HTML，导致XSS代码在受害者浏览器中执行。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

/*
PoC for CVE-2026-6415
Description: Simulate sending a malicious payload to the vulnerable JSON field.
The payload is designed to trigger an alert when the update_preview() function processes it.
*/

// Malicious payload exploiting the unsafe HTML construction
const payload = '<img src=x onerror=alert("CVE-2026-6415-Exploited")>';

// Simulating the vulnerable JSON structure expected by the plugin
const maliciousData = {
    field_key: "font_awesome_field",
    value: payload
};

// Example request to update the field (Conceptual)
// In a real scenario, this would be sent to wp-admin/admin-ajax.php or the post edit endpoint
console.log("Injecting payload:", JSON.stringify(maliciousData));

/*
To test manually:
1. Log in as a Subscriber.
2. Edit a post/page containing the Font Awesome field.
3. Input the payload into the vulnerable field.
4. Save/Preview.
5. Observe the XSS execution in the admin dashboard.
*/

影响范围

Advanced Custom Fields: Font Awesome <= 5.0.2

防御指南

临时缓解措施

如果无法立即升级，建议暂时禁用该插件或限制低权限用户（如订阅者）的内容发布权限。同时，可以通过Web应用防火墙（WAF）规则拦截针对该插件特定字段的异常JSON提交，检测并过滤包含<script>、onerror等关键字的请求载荷。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表