CVE-2025-8199: CWE-79 Web页面生成过程中输入中和不当（跨站脚本）

严重性: 中等 类型: 漏洞

CVE-2025-8199

由于对用户提供的属性输入清理和输出转义不足，WordPress的MarqueeAddons插件通过其Testimonial Marquee小部件在所有版本（包括及之前2.4.3版本）中存在存储型跨站脚本漏洞。这使得具有贡献者级别及以上访问权限的经过身份验证的攻击者能够在页面中注入任意Web脚本，每当用户访问被注入的页面时，这些脚本就会执行。

AI 分析

技术总结

CVE-2025-8199是一个存储型跨站脚本漏洞，归类于CWE-79，发现于debuggersstudio开发的Marquee Addons for Elementor – Advanced Elements & Modern Motion Widgets WordPress插件中。该缺陷存在于Testimonial Marquee小部件中，用户提供的属性在渲染到网页之前未经过适当的清理或转义。这使得具有贡献者级别或更高权限的经过身份验证的用户能够注入任意JavaScript代码，这些代码会被持久化存储并在任何查看受影响页面的用户上下文中执行。该漏洞影响所有版本，包括及之前2.4.3版本。利用该漏洞需要网络访问和经过身份验证的贡献者级别权限，但一旦脚本被注入，触发恶意脚本则无需用户交互。CVSS v3.1基础评分为6.4，反映了中等严重性，其向量表明攻击途径为网络、攻击复杂度低、需要权限、无需用户交互且存在范围变更。影响包括潜在的机密性和完整性破坏，例如会话劫持、凭据盗窃或以用户名义执行的未经授权操作。截至发布日期，尚无相关补丁或官方修复链接，也未在野外发现已知漏洞利用。该漏洞对于使用此插件的WordPress站点非常重要，特别是那些拥有多个贡献者或面向公众的推荐小部件的站点。

潜在影响

对于欧洲组织，此漏洞主要对安装了易受攻击的Marquee Addons插件的WordPress网站构成中等风险。利用此漏洞可能导致未经授权的脚本执行，使攻击者能够窃取会话cookie、以用户身份执行操作或篡改网站，从而损害声誉并可能暴露敏感用户数据。依赖WordPress提供面向公众的内容并允许多个用户拥有贡献者级别访问权限的行业组织（如电子商务、媒体、教育和政府）尤其面临风险。用户数据和网站内容的机密性与完整性面临风险，尽管可用性未受直接影响。鉴于WordPress在欧洲的广泛使用以及Elementor及其插件的普及，潜在的攻击面相当大。对贡献者级别身份验证的要求在一定程度上限制了暴露范围，但并未消除风险，特别是在拥有许多贡献者或内部访问控制薄弱的环境中。

缓解建议

欧洲组织应立即审核其WordPress安装，以确定是否存在Marquee Addons for Elementor插件，并验证所使用的版本。如果运行的是2.4.3或更早版本，应在有可用版本时升级到最新的修补版本，或应用供应商提供的任何补丁。在没有官方补丁的情况下，组织应考虑暂时禁用Testimonial Marquee小部件或整个插件以降低风险。实施严格的访问控制，仅将贡献者级别权限限制给受信任的用户，并强制执行强身份验证机制，例如多因素认证。此外，部署具有自定义规则的Web应用程序防火墙（WAF），以检测和阻止针对易受攻击小部件参数的可疑脚本注入尝试。定期监控与推荐内容更新相关的异常活动日志。教育内容贡献者有关注入不受信任内容的风险，并强制执行输入验证策略。最后，维护事件响应计划以快速处理任何利用企图。

受影响国家

德国、法国、英国、意大利、西班牙、荷兰、波兰、瑞典、比利时、奥地利

来源: CVE Database V5 发布日期: 2025年12月13日 星期六