圣经超级搜索 <= 6.0.1 — 经过身份验证的 (贡献者+) 存储型 XSS 通过 selector_height：网站所有者和开发者现在必须做的事情

TL;DR

影响 WordPress 插件“Bible SuperSearch”（版本 ≤ 6.0.1）的存储型跨站脚本 (XSS) 漏洞已被披露 (CVE‑2025‑8064)。具有贡献者权限或更高权限的经过身份验证的用户可以通过插件注入有效负载 选择器高度 参数注入有效负载。该有效负载被持久化，并可以在管理员或网站访客的上下文中稍后执行。插件作者在版本 6.1.0 中修复了该问题。.

立即采取行动（快速列表）：

• 立即将 Bible SuperSearch 更新到 6.1.0（或更高版本）。.
• 如果您无法立即更新，请限制 Contributor+ 账户，禁用插件，或通过您的托管/WAF 提供商应用虚拟补丁。.
• 扫描您的数据库和小部件/插件设置以查找可疑 选择器高度 值或嵌入的脚本标签并将其删除。.
• 对具有提升权限的账户进行凭证卫生，并监控日志以查找利用迹象。.

本指南提供技术背景、现实攻击场景、检测步骤、遏制措施、开发者加固建议以及实用的 WAF 签名和监控建议。语气务实，面向网站运营者和插件开发者；建议不偏向任何供应商。.

概述：发生了什么以及为什么重要

2025年8月20日，Bible SuperSearch ≤ 6.0.1 中的存储型 XSS 漏洞 (CVE‑2025‑8064) 被披露。经过身份验证的贡献者（或更高）可以通过提交数据 选择器高度 插件存储并在后续输出时未进行充分清理/转义的数据提交。由于该值被持久化，注入的标记或脚本会根据输出上下文在管理员、编辑或公众访客的浏览器中执行。.

存储型 XSS 特别危险：有效负载在服务器端持久化，并在每次渲染易受攻击的输出时执行。后果包括管理权限接管、会话盗窃、持久性网站篡改和客户端恶意软件的传播。.

尽管此漏洞需要一个贡献者账户才能利用（与未经身份验证的缺陷相比降低了紧迫性），但贡献者账户很常见，可能会被滥用或被攻破。将此类缺陷的存在视为一种重要的操作风险。.

受影响的版本及修复位置

• 受影响的版本：Bible SuperSearch ≤ 6.0.1
• 修复于：6.1.0
• CVE：CVE‑2025‑8064
• 所需权限：贡献者

漏洞如何工作 — 技术摘要（非供应商）

从高层次来看：

1. 插件接受一个 选择器高度 参数（小部件设置、短代码属性、管理员表单或AJAX）。.
2. 该值在持久存储中存储（postmeta、选项、小部件设置），没有经过适当的验证或清理。.
3. 后来，存储的值在页面或管理员用户界面中呈现时没有适当的转义，允许执行HTML/JS。.
4. 攻击者可以插入有效负载，例如 或 . 当管理员加载显示存储值的页面时，浏览器会在该用户的会话上下文中执行有效负载。.

由于存储型 XSS 有效负载是持久的，攻击者的代码可以被反复触发，并用于提升访问权限、创建持久后门或提取身份验证令牌。.

现实的利用场景

1. 恶意内部人员或被攻破的贡献者账户 — 一名贡献者将有效负载注入小部件或插件设置中，当编辑者/管理员查看受影响区域时执行。.
2. 客户发布/编辑工作流程 — 一名贡献者提交帖子或创作内容时可能嵌入有效负载，这些有效负载在编辑预览期间或当编辑者批准内容时触发。.
3. 通过创建账户进行大规模利用 — 如果攻击者注册多个贡献者账户（注册政策薄弱），他们可以植入多个有效载荷以在管理员视图中持久存在。.
4. 自动扫描和注入 — 投机性攻击者扫描易受攻击的插件安装，并自动向暴露的端点发布有效载荷。.

影响及攻击者可以做的事情

存储型XSS使攻击者能够：

• 偷取cookies或会话令牌并尝试接管账户。.
• 通过管理员的浏览器执行操作（CSRF 风格的操作）。.
• 通过从管理员的会话发出经过身份验证的请求来安装后门。.
• 注入垃圾邮件、重定向流量或加载客户端恶意软件。.

检测和妥协指标（IoCs）

检查以下内容：

• 插件配置值、小部件选项、postmeta和嵌入HTML或JS的选项（查找
  查看我的订单

  0

  小计

  税费和运费在结账时计算

  结账