WWordPress 漏洞資料庫

社區警示 WordPress 表單製作器 XSS (CVE20261065)

10Web 插件中的 WordPress 表單製作器跨站腳本攻擊 (XSS)
0
分享次數
0
0
0
0






Cross‑Site Scripting (CVE‑2026‑1065) in Form Maker by 10Web — What WordPress Site Owners Must Do Now


插件名稱 10Web 的 WordPress 表單製作器
漏洞類型 跨站腳本攻擊
CVE 編號 CVE-2026-1065
緊急程度 中等
CVE 發布日期 2026-02-08
來源 URL CVE-2026-1065

10Web 的表單製作器中的跨站腳本攻擊 (CVE‑2026‑1065) — WordPress 網站擁有者現在必須做什麼

日期：2026-02-06 · 作者：香港安全專家

透過 SVG 上傳的未經身份驗證的儲存 XSS 在表單製作器中 (<=1.15.35) 被發布為 CVE‑2026‑1065。這篇文章解釋了風險、攻擊者如何濫用 SVG 上傳處理、如何檢測利用，以及詳細的緩解和恢復檢查清單。.

為什麼這個漏洞很重要

儲存型跨站腳本攻擊（XSS）是一種高影響的客戶端漏洞。在這種情況下，未經身份驗證的攻擊者可以上傳精心製作的SVG文件，這些文件會持續存在於網站上，並在訪問者的瀏覽器中渲染時執行JavaScript。由於該漏洞不需要身份驗證，攻擊者不需要用戶帳戶——只需能夠訪問易受攻擊的上傳端點即可。.

潛在後果包括：

  • 竊取經過身份驗證的 cookies 和會話令牌（導致特權提升）；;
  • 如果管理員查看受感染的頁面，則會靜默接管管理員帳戶；;
  • 持久性內容注入（網絡釣魚、破壞、廣告插入）；;
  • 向網站訪客分發驅動式惡意軟件；;
  • 從用戶的瀏覽器中提取可訪問的數據（表單條目、聯絡資料）；;
  • 名譽損害和 SEO 處罰。.

SVG 是 XML，可能包含