CVE-2025-13747: CWE-79 在ice00 NewStatPress插件中存在网页生成期间输入清理不当（跨站脚本）漏洞
严重性：中等 类型：漏洞
CVE-2025-13747
WordPress的NewStatPress插件存在存储型跨站脚本漏洞，影响所有1.4.3及之前版本。该漏洞源于nsp_shortcode函数中对用户提供属性的输入清理和输出转义不足，导致正则表达式可被绕过。这使得拥有贡献者及以上权限的认证攻击者能够在页面中注入任意Web脚本，每当用户访问被注入的页面时，脚本便会执行。
AI分析
技术总结
CVE-2025-13747是一个在WordPress的NewStatPress插件中发现的存储型跨站脚本漏洞，影响所有1.4.3及之前版本。该漏洞源于处理简码输入的nsp_shortcode函数对用户提供属性的清理和转义不足。具体来说，正则表达式绕过允许拥有贡献者及以上权限的认证用户向页面注入任意JavaScript代码。由于恶意脚本被存储，每次用户访问被攻陷的页面时都会执行，可能导致会话劫持、凭证窃取或以用户身份执行未授权操作。其CVSS 3.1评分为6.4，属于中等严重性级别，攻击向量通过网络，复杂度低，需要权限（认证的贡献者或更高），无需用户交互，且存在范围变更（漏洞影响超出最初易受攻击代码的组件）。目前尚未报告公开的利用方式，但该漏洞的性质使其对依赖此插件的网站构成重大风险。由于发布时暂无官方补丁，需要立即采取缓解措施以防止利用。
潜在影响
对欧洲组织而言，此漏洞主要对使用WordPress并安装了NewStatPress插件的网站构成风险。拥有贡献者权限的攻击者可以注入恶意脚本，这些脚本将在访问网站的其他用户上下文中执行，可能危害用户凭证、会话令牌，或引发进一步的攻击，如网络钓鱼或权限提升。这可能导致数据泄露、声誉损害和用户信任丧失。鉴于WordPress在欧洲的广泛应用，特别是在媒体、教育以及中小企业等领域，其影响可能很显著。该漏洞不直接影响可用性，但危害了机密性和完整性。在允许多用户贡献内容的多用户WordPress环境中，组织面临的风险尤其高。XSS的存储特性增加了攻击的持久性和影响范围，会影响到所有访问受感染页面的访客。
缓解建议
- 在漏洞修补前，立即将贡献者级别的用户权限限制在仅限受信任人员。
- 监控和审计所有用户生成的内容，特别是简码属性，查找可疑脚本或代码注入。
- 如果尚无可用的补丁，作为临时修复措施，对NewStatPress插件代码中的所有简码属性实施严格的输入验证和输出编码。
- 如果NewStatPress插件非必需，请禁用它或将其移除，以减少受攻击面。
- 保持WordPress核心及所有插件为最新版本；一旦ice00发布官方补丁，立即应用。
- 实施内容安全策略（CSP）头，以限制在受影响的网站上执行未经授权的脚本。
- 教育内容贡献者有关安全内容实践和注入脚本的风险。
- 使用具有检测和阻止针对简码输入的XSS载荷规则的Web应用程序防火墙（WAF）。
- 定期使用自动化工具扫描网站以检测XSS漏洞，发现任何利用尝试。
受影响国家
德国、英国、法国、荷兰、意大利、西班牙、波兰
技术细节
数据版本： 5.2 分配者简称： Wordfence 日期预留： 2025-11-26T15:20:39.095Z CVSS版本： 3.1 状态： 已发布
威胁ID： 693b9183650da22753edbb2a 添加到数据库： 2025年12月12日，凌晨3:52:35 最后丰富信息： 2025年12月12日，凌晨4:10:37 最后更新： 2025年12月12日，早上6:27:10 浏览量： 4
来源： CVE数据库 V5 发布时间： 2025年12月12日，星期五