CVE-2025-8588 - Gutenberg Blocks – PublishPress Blocks Controls, Visibility, Reusable Blocks <= 3.3.4 - 认证用户存储型跨站脚本漏洞
概述
漏洞描述
WordPress的Gutenberg Blocks – PublishPress Blocks插件在3.3.4及以下版本中存在存储型跨站脚本漏洞，该漏洞源于对地图块的"标记标题"和"标记描述"参数输入验证和输出转义不足。这使得具有贡献者级别及以上权限的认证攻击者能够在页面中注入任意Web脚本，当用户访问被注入的页面时，这些脚本将会执行。
漏洞时间线
- 发布日期: 2025年10月25日 上午6:15
- 最后修改: 2025年10月25日 上午6:15
- 远程利用: 是
- 来源: security@wordfence.com
受影响产品
目前尚未记录受影响的具体产品信息。
总受影响供应商：0 | 产品：0
CVSS评分
| 分数 | 版本 | 严重性 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 6.4 | CVSS 3.1 | 中等 | 3.1 | 2.7 | - | security@wordfence.com |
解决方案
- 将插件更新到修复了存储型跨站脚本漏洞的版本
- 更新PublishPress Blocks插件至最新版本
- 验证地图块的输入清理和输出转义
- 限制用户对内容创建和编辑的访问权限
- 监控可疑的脚本执行
参考资源
| URL | 资源 |
|---|
| https://plugins.trac.wordpress.org/browser/advanced-gutenberg/trunk/assets/blocks/map/frontend.js#L14 | 代码审查 | | https://www.wordfence.com/threat-intel/vulnerabilities/id/428d44c2-ef30-4d34-8f62-030af9931441?source=cve | Wordfence威胁情报 |
CWE - 常见弱点枚举
CWE-79: 在网页生成过程中输入中和不当（跨站脚本）
常见攻击模式枚举和分类(CAPEC)
- CAPEC-63: 跨站脚本(XSS)
- CAPEC-85: AJAX足迹识别
- CAPEC-209: 使用MIME类型不匹配的XSS
- CAPEC-588: 基于DOM的XSS
- CAPEC-591: 反射型XSS
- CAPEC-592: 存储型XSS
漏洞历史记录
新CVE接收 - 由security@wordfence.com于2025年10月25日
| 操作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | - | 漏洞描述内容 |
| 添加 | CVSS V3.1 | - | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
| 添加 | CWE | - | CWE-79 |
| 添加 | 参考 | - | GitHub问题链接 |
| 添加 | 参考 | - | 代码审查链接 |
| 添加 | 参考 | - | Wordfence威胁情报链接 |
漏洞评分详情
CVSS 3.1
基础CVSS分数: 6.4
攻击向量：网络 | 攻击复杂度：低 | 所需权限：低 | 用户交互：无 | 作用域：改变 | 机密性影响：低 | 完整性影响：低 | 可用性影响：无