| 插件名稱 | 10Web 的 WordPress 表單製作器 |
|---|---|
| 漏洞類型 | 跨站腳本攻擊 |
| CVE 編號 | CVE-2026-1065 |
| 緊急程度 | 中等 |
| CVE 發布日期 | 2026-02-08 |
| 來源 URL | CVE-2026-1065 |
10Web 的表單製作器中的跨站腳本攻擊 (CVE‑2026‑1065) — WordPress 網站擁有者現在必須做什麼
透過 SVG 上傳的未經身份驗證的儲存 XSS 在表單製作器中 (<=1.15.35) 被發布為 CVE‑2026‑1065。這篇文章解釋了風險、攻擊者如何濫用 SVG 上傳處理、如何檢測利用，以及詳細的緩解和恢復檢查清單。.
為什麼這個漏洞很重要
儲存型跨站腳本攻擊（XSS）是一種高影響的客戶端漏洞。在這種情況下，未經身份驗證的攻擊者可以上傳精心製作的SVG文件，這些文件會持續存在於網站上，並在訪問者的瀏覽器中渲染時執行JavaScript。由於該漏洞不需要身份驗證，攻擊者不需要用戶帳戶——只需能夠訪問易受攻擊的上傳端點即可。.
潛在後果包括：
- 竊取經過身份驗證的 cookies 和會話令牌（導致特權提升）；;
- 如果管理員查看受感染的頁面，則會靜默接管管理員帳戶；;
- 持久性內容注入（網絡釣魚、破壞、廣告插入）；;
- 向網站訪客分發驅動式惡意軟件；;
- 從用戶的瀏覽器中提取可訪問的數據（表單條目、聯絡資料）；;
- 名譽損害和 SEO 處罰。.
