圣经超级搜索 <= 6.0.1 — Authenticated (Contributor+) Stored XSS via selector_height: What site owners and developers must do now

TL;DR

A stored Cross‑Site Scripting (XSS) vulnerability affecting the WordPress plugin “Bible SuperSearch” (versions ≤ 6.0.1) has been disclosed (CVE‑2025‑8064). An authenticated user with Contributor privileges or higher can inject a payload via the plugin’s 选择器高度 参数注入有效负载。该有效负载被持久化，并可以在管理员或网站访客的上下文中稍后执行。插件作者在版本 6.1.0 中修复了该问题。.

立即采取行动（快速列表）：

• 立即将 Bible SuperSearch 更新到 6.1.0（或更高版本）。.
• 如果您无法立即更新，请限制 Contributor+ 账户，禁用插件，或通过您的托管/WAF 提供商应用虚拟补丁。.
• 扫描您的数据库和小部件/插件设置以查找可疑 选择器高度 值或嵌入的脚本标签并将其删除。.
• 对具有提升权限的账户进行凭证卫生，并监控日志以查找利用迹象。.

本指南提供技术背景、现实攻击场景、检测步骤、遏制措施、开发者加固建议以及实用的 WAF 签名和监控建议。语气务实，面向网站运营者和插件开发者；建议不偏向任何供应商。.

概述：发生了什么以及为什么重要

On 20 August 2025 a stored XSS vulnerability (CVE‑2025‑8064) in Bible SuperSearch ≤ 6.0.1 was disclosed. An authenticated Contributor (or higher) can submit data via 选择器高度 插件存储并在后续输出时未进行充分清理/转义的数据提交。由于该值被持久化，注入的标记或脚本会根据输出上下文在管理员、编辑或公众访客的浏览器中执行。.

存储型 XSS 特别危险：有效负载在服务器端持久化，并在每次渲染易受攻击的输出时执行。后果包括管理权限接管、会话盗窃、持久性网站篡改和客户端恶意软件的传播。.

尽管此漏洞需要一个贡献者账户才能利用（与未经身份验证的缺陷相比降低了紧迫性），但贡献者账户很常见，可能会被滥用或被攻破。将此类缺陷的存在视为一种重要的操作风险。.

受影响的版本及修复位置

• Affected versions: Bible SuperSearch ≤ 6.0.1
• 修复于：6.1.0
• CVE：CVE‑2025‑8064
• 所需权限：贡献者

漏洞如何工作 — 技术摘要（非供应商）

从高层次来看：

1. 插件接受一个 选择器高度 参数（小部件设置、短代码属性、管理员表单或AJAX）。.
2. 该值在持久存储中存储（postmeta、选项、小部件设置），没有经过适当的验证或清理。.
3. 后来，存储的值在页面或管理员用户界面中呈现时没有适当的转义，允许执行HTML/JS。.
4. 攻击者可以插入有效负载，例如 或 . When an admin loads a page showing the stored value, the browser executes the payload in that user’s session context.

Because stored XSS payloads persist, the attacker’s code can be triggered repeatedly and used to escalate access, create persistent backdoors, or exfiltrate authentication tokens.

现实的利用场景

1. 恶意内部人员或被攻破的贡献者账户 — 一名贡献者将有效负载注入小部件或插件设置中，当编辑者/管理员查看受影响区域时执行。.
2. 客户发布/编辑工作流程 — 一名贡献者提交帖子或创作内容时可能嵌入有效负载，这些有效负载在编辑预览期间或当编辑者批准内容时触发。.
3. 通过创建账户进行大规模利用 — 如果攻击者注册多个贡献者账户（注册政策薄弱），他们可以植入多个有效载荷以在管理员视图中持久存在。.
4. 自动扫描和注入 — 投机性攻击者扫描易受攻击的插件安装，并自动向暴露的端点发布有效载荷。.

影响及攻击者可以做的事情

存储型XSS使攻击者能够：

• 偷取cookies或会话令牌并尝试接管账户。.
• Perform actions via an admin’s browser (CSRF‑style operations).
• Install backdoors by issuing authenticated requests from an administrator’s session.
• 注入垃圾邮件、重定向流量或加载客户端恶意软件。.

检测和妥协指标（IoCs）

检查以下内容：

• 插件配置值、小部件选项、postmeta和嵌入HTML或JS的选项（查找
  查看我的订单

  0

  小计

  税费和运费在结账时计算

  结账