WWordPress 漏洞数据库

Prime Slider中的跨站脚本风险（CVE20264341）

WordPress Prime Slider中的跨站脚本（XSS）– Elementor插件的附加组件
0
分享
0
0
0
0
插件名称 WordPress Prime Slider – Elementor 插件的附加组件
漏洞类型 跨站脚本攻击（XSS）
CVE 编号 CVE-2026-4341
紧急程度 中等
CVE 发布日期 2026-04-07
来源网址 CVE-2026-4341






WordPress Prime Slider <= 4.1.10 — Authenticated Stored XSS via follow_us_text (CVE-2026-4341)


WordPress Prime Slider ≤ 4.1.10 — 通过 follow_us_text 的认证存储型 XSS (CVE-2026-4341)

作者：香港安全专家 — 发布日期：2026-04-08 — 标签：WordPress, 安全, XSS, Prime Slider, 漏洞

摘要：影响 Prime Slider – Elementor 附加组件 (≤ 4.1.10) 的存储型跨站脚本 (XSS) 漏洞允许具有作者级别（或更高）权限的认证用户通过 follow_us_text 参数注入脚本。被追踪为 CVE-2026-4341；在 4.1.11 中修复。此公告解释了风险、检测、修复、搜索和实际虚拟补丁示例。.

背景和影响

在 2026 年 4 月 7 日，披露了影响 Prime Slider – Elementor 附加组件（版本最高至 4.1.10）的存储型 XSS 漏洞。该插件从 follow_us_text 参数存储了一个值，但没有进行足够的清理或输出转义。经过认证的用户（作者级别或更高）可以注入 HTML/JavaScript，该内容会被存储并在其他用户的浏览器中执行。.

该问题记录为 CVE-2026-4341，并在版本 4.1.11 中修复。尽管报告的 CVSS 为中等（约 5.9），但存储型 XSS 在实践中风险很高：攻击者可以窃取会话令牌、充当管理员、持久化重定向或安装进一步的后门。.

谁面临风险

  • 运行 Prime Slider – Elementor 附加组件版本 4.1.10 或更早版本的网站。.
  • 允许非管理员认证用户（作者/贡献者）创建或编辑滑块内容的网站。.
  • 在管理员、编辑或未认证访客查看的页面上呈现 follow_us_text 的网站。.
  • 插件在网络中处于活动状态的多站点网络。.

即使是低流量网站也可能成为自动扫描的目标或被发现。将此视为可操作的：检查版本并快速打补丁。.

漏洞如何工作（高级别）

  1. follow_us_text 是一个插件设置/可编辑字段，保存到数据库中（选项、postmeta 或插件设置）。.
  2. 输入处理未能正确清理或转义危险输入（脚本标签、事件属性）。.
  3. 在输出时，存储的 HTML/JS 在访问者的浏览器中执行。持久性使有效负载在会话之间有效。.
  4. 作者级别的攻击者可以注入一个有效负载，当管理员或其他特权用户查看滑块时执行。.
  5. 后果包括 cookie 被窃取、会话劫持、CSRF 风格的特权操作或二次有效负载的传递。.

利用场景和攻击者目标

  • 特权升级支点：当管理员查看受影响的页面时捕获管理员会话/ cookie。.
  • 持久性恶意软件投放：注入加载外部恶意软件、广告或垃圾邮件的脚本。.
  • 社会工程学与重定向：显示虚假的管理员提示或重定向到钓鱼/变现网站。.
  • SEO 中毒/垃圾邮件插入：隐藏降低声誉和排名的链接或内容。.
  • 第二阶段交付：使用 XSS 执行经过身份验证的操作（上传插件、更改选项）。.

安全检测和妥协指标

关注存储内容和行为迹象：

  • 意外的内联