资讯详情

概述

CVE-2025-12672

Flickr Show <= 1.5 - 经过认证的（贡献者+）存储型跨站脚本攻击

漏洞描述

WordPress的Flickr Show插件在所有版本（包括1.5及以下版本）中，由于对'flickrshow'短代码的'div_height'参数输入清理和输出转义不足，存在存储型跨站脚本漏洞。这使得经过认证的攻击者（具有贡献者级别及以上权限）能够在页面中注入任意Web脚本，当用户访问被注入的页面时，这些脚本将会执行。

漏洞时间线

• 发布日期：2025年11月11日 凌晨4:15
• 最后修改：2025年11月11日 凌晨4:15
• 远程利用：是
• 来源：security@wordfence.com

受影响产品

目前尚未记录受影响的具体产品
总受影响供应商：0 | 产品：0

CVSS评分

CVSS 3.1评分

评分	版本	严重程度	向量	可利用性评分	影响评分	来源
6.4	CVSS 3.1	中等	3.1	2.7	2.7	security@wordfence.com
6.4	CVSS 3.1	中等	3.1	2.7	2.7	MITRE-CVE

解决方案

• 将Flickr Show插件更新到包含适当输入清理和输出转义的版本
• 将Flickr Show插件更新到最新版本
• 验证输入清理和输出转义是否已实施
• 如果可能，限制贡献者级别对插件的访问

参考链接

• https://plugins.trac.wordpress.org/browser/wp-flickrshow/tags/1.5/flickrshow.php#L230
• https://wordpress.org/plugins/wp-flickrshow/
• https://www.wordfence.com/threat-intel/vulnerabilities/id/5b792892-25dc-4df0-883d-afd0b47292e0?source=cve

CWE - 常见弱点枚举

CWE-79：在网页生成过程中输入中和不当（跨站脚本）

常见攻击模式枚举和分类（CAPEC）

• CAPEC-63：跨站脚本（XSS）
• CAPEC-85：AJAX足迹识别
• CAPEC-209：使用MIME类型不匹配的XSS
• CAPEC-588：基于DOM的XSS
• CAPEC-591：反射型XSS
• CAPEC-592：存储型XSS

漏洞历史记录

2025年11月11日 - 收到来自security@wordfence.com的新CVE

操作	类型	旧值	新值
添加	描述		漏洞描述内容
添加	CVSS V3.1		AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
添加	CWE		CWE-79
添加	参考链接		三个参考链接

CVSS 3.1评分详情

基础CVSS评分：6.4

• 攻击向量：网络
• 攻击复杂度：低
• 所需权限：低
• 用户交互：无
• 范围：已更改
• 机密性影响：低
• 完整性影响：低
• 可用性影响：无
  更多精彩内容 请关注我的个人公众号 公众号（办公AI智能小助手）
  对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号（网络安全技术点滴分享）

公众号二维码

公众号二维码