报告 #3185205 - MainWP “成本追踪器"笔记字段中的反射型XSS漏洞
漏洞描述
在MainWP（版本5.4.0.11）的"成本追踪器"部分的"笔记"输入字段中存在另一个反射型跨站脚本（XSS）漏洞。
当在客户端管理面板的"成本追踪器"模块中添加或编辑成本时，用户可以在笔记字段中输入任意内容。如果该输入包含恶意JavaScript（例如XSS有效载荷），由于缺乏适当的输入清理和输出编码，该内容会在保存后立即被反射并执行。
该脚本不会永久存储在系统中，这证实了它是一个反射型XSS，在当前会话提交后立即触发。
影响
存在此类漏洞表明用户输入在反射回HTML响应之前没有得到适当的清理或编码。
虽然其他用户无法直接利用此缺陷，但它可能带来以下影响：
- 如果应用程序中其他地方存在类似的输入处理，这可能是更严重XSS漏洞的潜在入口点
- 在具有浏览器扩展、调试工具或集成第三方脚本的环境中，会带来客户端安全风险
- 降低了对该平台安全编码实践的信任，特别是在管理多个WordPress网站的管理界面中
- 攻击者可以通过访问仪表板（例如内部威胁或受攻击的低权限用户）来测试或探索更多的有效载荷注入点
解决此类漏洞可以提高应用程序的整体弹性，并有助于预防未来更具影响力的攻击。
时间线
2025年6月10日 6:39 UTC rishail01 向MainWP提交报告
2025年6月10日 11:39 UTC bogdanrapaic（MainWP员工）将状态更改为"已分类”
2025年6月10日 16:05 UTC bogdanrapaic发布补丁版本mainwp.zip（F4435415）
2025年6月11日 5:13 UTC rishail01测试后发现反射型XSS问题仍然存在
2025年6月11日 11:18 UTC bogdanrapaic建议清除浏览器缓存并重新测试
2025年6月11日 11:43 UTC rishail01使用无痕窗口重新验证行为
2025年6月11日 12:04 UTC bogdanrapaic表示无法复现问题，建议重新安装版本或使用最新版本5.4.0.12测试
2025年6月11日 21:41 UTC rishail01在其他浏览器上重新验证，反射型XSS不再触发，确认问题已修复
2025年6月12日 11:16 UTC rishail01确认所有五个报告的漏洞都已修复
2025年6月13日 16:39 UTC orangethermal（MainWP员工）关闭报告并将状态更改为"已解决"
2025年6月13日 16:43 UTC MainWP向rishail01奖励50美元赏金
2025年6月17日 9:08 UTC rishail01请求公开此报告
2025年7月17日 9:08 UTC 报告被公开
技术详情
- 报告ID: #3185205
- 严重程度: 低（2.2）
- 弱点类型: 跨站脚本（XSS）- 反射型
- CVE ID: 无
- 赏金: 50美元
附件
- Cost_Tracker_Notes_XSS.mp4 (F4433587) - 初始漏洞演示
- mainwp.zip (F4435415) - 补丁文件
- Cost_Tracker_XSS_Fixed.mp4 (F4442908) - 修复验证视频
该漏洞的发现和修复过程展示了安全研究人员与开发团队之间的有效协作，最终成功解决了安全漏洞。