CVE-2025-13840: bobvanoorschot BUKAZU Search widget 中 CWE-79 网页生成期间输入净化不当导致的跨站脚本漏洞
严重性：中等 类型：漏洞
CVE-2025-13840 由于对用户提供的属性输入清理和输出转义不足，WordPress 的 BUKAZU Search widget 插件在所有版本（包括 3.3.2 及更早版本）中，通过 “bukazu_search” 短代码的 “shortcode” 参数，容易受到存储型跨站脚本攻击。这使得拥有贡献者级别及以上权限的经过身份验证的攻击者能够在页面中注入任意 Web 脚本，每当用户访问被注入的页面时，这些脚本都会执行。
AI 分析
技术总结 WordPress 的 BUKAZU Search widget 插件存在一个存储型跨站脚本漏洞，编号为 CVE-2025-13840。该漏洞源于网页生成期间对输入的净化不当（CWE-79），具体是通过 “bukazu_search” 短代码的 “shortcode” 参数。在所有 3.3.2 及更早版本中，该插件未能充分清理和转义用户提供的属性，允许拥有贡献者级别或更高权限的经过身份验证的用户向页面中注入任意 JavaScript 代码。由于恶意脚本是存储型的，每次用户访问受影响的页面时都会执行，可能会危害用户会话、窃取 Cookie 或以用户身份执行未授权操作。该漏洞的 CVSS 3.1 基础评分为 6.4，属于中等严重性，攻击向量为网络，攻击复杂度低，需要权限（贡献者或更高），无需用户交互，且存在范围变更。尽管目前尚未发现已知的野外利用，该漏洞对使用此插件的 WordPress 站点构成重大风险，尤其是那些拥有多个贡献者的站点。漏洞利用可能导致部分机密性和完整性损失，但不影响可用性。披露时缺乏补丁，需要立即关注以降低风险。
潜在影响 对于欧洲组织而言，此漏洞可能导致其 WordPress 站点上执行未授权脚本，存在用户凭据盗窃、会话劫持以及在合法用户上下文下执行未授权操作的风险。如果个人数据因此泄露，可能导致数据泄露、网站篡改、客户信任丧失以及潜在的 GDPR 监管处罚。依赖拥有贡献者级别用户的多用户 WordPress 环境的组织风险尤其大。中等严重性分数表明这是一种中等但切实存在的威胁，特别是对于面向公众的网站或处理敏感用户数据的网站。范围变更意味着该漏洞可能影响到插件本身以外的组件，可能波及整个 WordPress 站点。鉴于 WordPress 在欧洲的广泛使用，特别是在中小企业中，如果不及时处理，影响可能很广泛。
缓解建议 欧洲组织应立即审计其 WordPress 安装，以识别是否存在 BUKAZU Search widget 插件及其版本。在官方补丁发布之前，管理员应将贡献者级别及更高级别的权限仅限制给受信任的用户，以最小化恶意短代码注入的风险。实施 Web 应用程序防火墙规则来检测和阻止可疑的短代码参数或脚本注入，可以提供临时保护。此外，如果可行，在插件代码中应用手动输入验证和输出转义可以缓解利用。建议定期监控网站日志中是否存在异常活动，并进行安全扫描以检测注入的脚本。一旦补丁可用，组织必须优先更新插件。教育内容贡献者关于安全输入实践，并将插件使用限制在受信任来源，可以进一步降低风险。
受影响国家 德国、英国、法国、荷兰、意大利、西班牙
技术详情
- 数据版本： 5.2
- 分配者简称： Wordfence
- 日期保留： 2025-12-01T18:49:41.802Z
- Cvss 版本： 3.1
- 状态： PUBLISHED
- 威胁 ID： 693b9183650da22753edbb2e
- 添加到数据库时间： 2025年12月12日，上午 3:52:35
- 最后丰富时间： 2025年12月12日，上午 4:10:49
- 最后更新时间： 2025年12月12日，上午 7:06:28
- 查看次数： 3
来源： CVE 数据库 V5 发布日期： 2025年12月12日，星期五