反射型XSS在"成本追踪器"笔记字段中的漏洞报告
漏洞概述
在MainWP（版本5.4.0.11）的成本追踪器部分的"笔记"输入字段中存在另一个反射型跨站脚本（XSS）漏洞。
当在客户端管理面板的"成本追踪器"模块中添加或编辑成本时，用户可以在笔记字段中输入任意内容。如果该输入包含恶意JavaScript（例如XSS有效载荷），由于缺乏适当的输入清理和输出编码，该内容将在保存后立即被反射并执行。
该脚本不会永久存储在系统中，这证实了它是一个反射型XSS，在当前会话提交后立即触发。
影响分析
存在此类漏洞表明用户输入在反射回HTML响应之前没有得到适当的清理或编码。
虽然其他用户无法直接利用此缺陷，但它可能带来以下影响：
- 如果应用程序中其他地方存在类似的输入处理方式，这突显了更严重XSS漏洞的潜在入口点
- 在具有浏览器扩展、调试工具或集成第三方脚本的环境中，存在客户端安全风险
- 降低了对该平台安全编码实践的信任，特别是在管理多个WordPress站点的管理界面中
- 攻击者可以通过访问仪表板（例如内部威胁或受感染的低权限用户）来测试或探索更多的有效载荷注入点
解决此类漏洞可提高应用程序的整体弹性，并有助于预防未来更具影响力的攻击。
时间线记录
2025年6月10日 上午6:39 UTC rishail01向MainWP提交报告
2025年6月10日 上午11:39 UTC bogdanrapaic（MainWP员工）将状态更改为"已分类" 回复：“感谢@rishail01，我们正在制作补丁”
2025年6月10日 下午4:05 UTC bogdanrapaic发布评论并附上修补版本mainwp.zip (F4435415)
2025年6月11日 上午5:13 UTC rishail01回复称经过测试，反射型XSS问题在同一位置仍然存在
2025年6月11日 上午11:18 UTC bogdanrapaic要求确认清除浏览器缓存
2025年6月11日 上午11:43 UTC rishail01使用隐身窗口重新验证行为
2025年6月11日 下午12:04 UTC bogdanrapaic表示无法复现问题，建议重新安装版本
2025年6月11日 下午9:41 UTC rishail01确认在Chrome以外的浏览器中重新验证，反射型XSS不再触发，问题已成功修复
2025年6月12日 上午11:16 UTC rishail01确认所有五个报告的漏洞均已修复
2025年6月13日 下午4:39 UTC orangethermal（MainWP员工）关闭报告并将状态改为"已解决"
2025年6月13日 下午4:43 UTC MainWP向rishail01奖励50美元赏金
2025年6月17日 上午9:08 UTC rishail01请求披露此报告
2025年7月17日 上午9:08 UTC 报告被披露
技术详情
- 报告ID: #3185205
- 严重程度: 低（2.2）
- 弱点类型: 跨站脚本（XSS）- 反射型
- CVE ID: 无
- 赏金金额: 50美元
附件记录
- F4433587: Cost_Tracker_Notes_XSS.mp4（原始漏洞证明）
- F4435415: mainwp.zip（初始修补版本）
- F4437654: Cost_Tracker_XSS.mp4（补丁验证）
- F4442908: Cost_Tracker_XSS_Fixed.mp4（最终修复验证）