https://blog.qife122.com/tags/%E8%B7%A8%E7%AB%99%E8%84%9A%E6%9C%AC%E6%94%BB%E5%87%BB/ Recent content in 跨站脚本攻击 on 办公AI智能小助手 Hugo zh-cn qife Tue, 30 Dec 2025 07:27:43 +0800 https://blog.qife122.com/p/wordpress%E6%8F%92%E4%BB%B6wpvibes-addon-elements%E5%AD%98%E5%82%A8%E5%9E%8Bxss%E6%BC%8F%E6%B4%9E%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90/ Tue, 30 Dec 2025 07:27:43 +0800 https://blog.qife122.com/p/wordpress%E6%8F%92%E4%BB%B6wpvibes-addon-elements%E5%AD%98%E5%82%A8%E5%9E%8Bxss%E6%BC%8F%E6%B4%9E%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90/ <h1 id="cve-2025-12537-wpvibes-addon-elements-for-elementor插件中的存储型xss漏洞">CVE-2025-12537: wpvibes Addon Elements for Elementor插件中的存储型XSS漏洞</h1> <p><strong>严重性</strong>: 中等 <strong>类型</strong>: 漏洞 <strong>CVE编号</strong>: CVE-2025-12537</p> <p><strong>描述</strong> WordPress的Addon Elements for Elementor插件在所有1.14.3及更早版本中存在存储型跨站脚本攻击漏洞。这是由于对多个小部件参数的输入清理和输出转义不足造成的。这使得经过身份验证的攻击者（至少具有贡献者级别访问权限）可以通过多个小部件参数向页面注入任意Web脚本，每当用户访问被注入的页面时，这些脚本就会执行。</p> https://blog.qife122.com/p/wordpress%E6%8F%92%E4%BB%B6%E5%AE%89%E5%85%A8%E8%AD%A6%E6%8A%A5cve-2025-14119%E5%AD%98%E5%82%A8%E5%9E%8Bxss%E6%BC%8F%E6%B4%9E%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90/ Sun, 14 Dec 2025 05:37:37 +0800 https://blog.qife122.com/p/wordpress%E6%8F%92%E4%BB%B6%E5%AE%89%E5%85%A8%E8%AD%A6%E6%8A%A5cve-2025-14119%E5%AD%98%E5%82%A8%E5%9E%8Bxss%E6%BC%8F%E6%B4%9E%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90/ <h3 id="cve-2025-14119-wpbakery页面构建器插件中的cwe-79输入中和不当漏洞跨站脚本攻击">CVE-2025-14119: WPBakery页面构建器插件中的CWE-79输入中和不当漏洞（跨站脚本攻击）</h3> <p><strong>严重性：中</strong> <strong>类型：漏洞</strong> <strong>CVE编号：CVE-2025-14119</strong></p> https://blog.qife122.com/p/%E5%A6%82%E4%BD%95%E5%8C%BA%E5%88%86csp%E6%8A%A5%E5%91%8A%E6%98%AFxss%E6%94%BB%E5%87%BB%E8%BF%98%E6%98%AF%E6%B5%8F%E8%A7%88%E5%99%A8%E6%89%A9%E5%B1%95/ Wed, 03 Dec 2025 12:16:47 +0800 https://blog.qife122.com/p/%E5%A6%82%E4%BD%95%E5%8C%BA%E5%88%86csp%E6%8A%A5%E5%91%8A%E6%98%AFxss%E6%94%BB%E5%87%BB%E8%BF%98%E6%98%AF%E6%B5%8F%E8%A7%88%E5%99%A8%E6%89%A9%E5%B1%95/ <h1 id="如何区分csp报告是xss攻击还是浏览器扩展">如何区分CSP报告是XSS攻击还是浏览器扩展？</h1> <p>我最近为一个相当复杂的Web应用添加了CSP（内容安全策略）报头，起初使用的是<code>-report-only</code>模式。 在报告中，我收到了一些来自浏览器扩展的干扰信息，但有两个事件特别引起了我的注意： 有一次报告了以下内容：</p>