WWordPress 漏洞数据库

社区警报 WordPress 表单生成器 XSS(CVE20261065)

10Web插件中的WordPress表单生成器的跨站脚本攻击（XSS）
0
分享
0
0
0
0






Cross‑Site Scripting (CVE‑2026‑1065) in Form Maker by 10Web — What WordPress Site Owners Must Do Now


插件名称 10Web 的 WordPress 表单生成器
漏洞类型 跨站脚本攻击
CVE 编号 CVE-2026-1065
紧急程度 中等
CVE 发布日期 2026-02-08
来源网址 CVE-2026-1065

10Web 的表单生成器中的跨站脚本攻击 (CVE-2026-1065) — WordPress 网站所有者现在必须采取的措施

日期：2026-02-06 · 作者：香港安全专家

通过 SVG 上传的未经身份验证的存储型 XSS 在表单生成器中 (<=1.15.35) 被发布为 CVE-2026-1065。本文解释了风险、攻击者如何滥用 SVG 上传处理、如何检测利用，以及详细的缓解和恢复检查清单。.

为什么这个漏洞很重要

存储型跨站脚本攻击（XSS）是一种高影响的客户端漏洞。在这种情况下，未经身份验证的攻击者可以上传精心制作的SVG文件，这些文件会在网站上持久存在，并在访客的浏览器中渲染时执行JavaScript。由于该漏洞是未经身份验证的，攻击者不需要用户账户——只需能够访问易受攻击的上传端点。.

潜在后果包括：

  • 盗取经过身份验证的 cookies 和会话令牌（导致权限提升）；;
  • 如果管理员查看感染页面，则会静默接管管理员帐户；;
  • 持久性内容注入（网络钓鱼、篡改、广告插入）；;
  • 向网站访客分发驱动式恶意软件；;
  • 从用户的浏览器中提取可访问的数据（表单输入、联系数据）；;
  • 声誉损害和 SEO 处罚。.

SVG 是 XML，可能包含