CVE-2025-13747: CWE-79 WordPress插件NewStatPress输入内容在网页生成过程中净化不当漏洞
严重性： 中等 类型： 漏洞
CVE-2025-13747
WordPress的NewStatPress插件因nsp_shortcode函数中存在正则表达式绕过，导致存储型跨站脚本漏洞，影响版本至1.4.3（含）。该漏洞源于对用户提供的短代码属性输入净化不足和输出转义不充分。这使得拥有投稿者及以上权限的经过认证的攻击者能够在页面中注入任意的网页脚本，并在用户访问被注入页面时执行。
AI分析技术摘要
CVE-2025-13747是WordPress的NewStatPress插件中发现的一个存储型跨站脚本漏洞，影响所有至1.4.3（含）的版本。漏洞根源在于处理短代码输入的nsp_shortcode函数对用户提供的属性净化（sanitization）和转义（escaping）不充分。具体而言，一个正则表达式绕过允许拥有投稿者或更高权限的认证用户向页面中注入任意JavaScript代码。由于恶意脚本被存储，每次用户访问受感染的页面时都会执行，可能导致会话劫持、凭据窃取或以用户身份执行未授权操作。CVSS 3.1评分为6.4，反映了该漏洞属于中等严重级别，其攻击向量通过网络，复杂度低，需要权限（认证的投稿者或更高），无需用户交互，且存在范围变更（漏洞影响超出最初易受攻击的代码组件）。目前尚未有公开的利用报告，但该漏洞的性质使其成为依赖此插件的网站的重大风险。在发布时官方补丁尚不可用，因此需要立即采取缓解措施以防止利用。
潜在影响
对于欧洲组织，此漏洞主要对安装了NewStatPress插件的WordPress网站构成风险。拥有投稿者权限的攻击者可以注入恶意脚本，这些脚本将在访问网站的其他用户上下文中执行，可能会危及用户凭据、会话令牌，或促成进一步的攻击，如网络钓鱼或权限提升。这可能导致数据泄露、声誉损害和用户信任丧失。鉴于WordPress在欧洲的广泛使用，特别是在媒体、教育以及中小型企业等行业，其影响可能很重大。该漏洞不直接影响可用性，但会破坏机密性和完整性。那些拥有多用户WordPress环境，且允许投稿者上传内容的组织尤其面临风险。XSS的存储特性增加了攻击的持续性和范围，影响所有访问受感染页面的访客。
缓解建议
- 在漏洞修复之前，立即将投稿者级别的用户权限限制为仅限受信任人员。
- 监控和审计所有用户生成的内容，特别是短代码属性，以发现可疑的脚本或代码注入。
- 如果尚未有可用补丁，作为临时修复措施，应在NewStatPress插件代码中对所有短代码属性实施严格的输入验证和输出编码。
- 如果NewStatPress插件非必需，请禁用它或将其移除，以减少攻击面。
- 保持WordPress核心及所有插件更新；一旦ice00发布官方补丁，立即应用。
- 在受影响站点上实施内容安全策略头部，以限制未经授权脚本的执行。
- 教育内容投稿者了解安全内容实践以及注入脚本的风险。
- 使用配置了检测和阻止针对短代码输入的XSS载荷规则的Web应用防火墙。
- 使用自动化工具定期扫描网站，检测是否存在任何XSS漏洞利用企图。
受影响国家
德国、英国、法国、荷兰、意大利、西班牙、波兰
技术详情
数据版本： 5.2 分配者简称： Wordfence 日期预留： 2025-11-26T15:20:39.095Z Cvss版本： 3.1 状态： 已发布 威胁ID： 693b9183650da22753edbb2a 添加到数据库： 2025年12月12日，上午3:52:35 最后丰富时间： 2025年12月12日，上午4:10:37 最后更新时间： 2025年12月12日，上午7:50:50 浏览量： 5
来源： CVE数据库 V5 发布： 2025年12月12日星期五