| 插件名称 | IMS 倒计时 |
|---|---|
| 漏洞类型 | 跨站脚本攻击（XSS） |
| CVE 编号 | CVE-2024-11755 |
| 紧急程度 | 低 |
| CVE 发布日期 | 2026-02-03 |
| 来源网址 | CVE-2024-11755 |
紧急：IMS 倒计时中的存储型 XSS（≤ 1.3.5）——WordPress 网站所有者和开发者现在必须采取的措施
发布日期： 2026年2月3日
来自香港安全专家的总结：一个影响 IMS 倒计时插件（版本 ≤ 1.3.5）的存储型跨站脚本（XSS）漏洞被披露（CVE-2024-11755）。具有贡献者权限的认证用户可以将持久的 JavaScript 注入插件管理的内容；当其他用户——包括管理员或访客——查看受影响的内容时，该脚本可能会执行。对此要认真对待并迅速采取行动。.
快速总结（TL;DR）
- IMS 倒计时中的存储型 XSS（≤ 1.3.5）允许贡献者注入持久的 JavaScript 负载。.
- 在 IMS 倒计时 1.3.6 中修复——立即更新到该版本或更高版本。.
- 如果您无法立即更新：停用插件，限制贡献者权限，搜索可疑内容，轮换敏感凭据，并采取针对性缓解措施。.
- 从长远来看：强制输入清理和转义、能力检查以及分层防御（CSP、监控和适用时的 WAF）。.
发生了什么（技术概述）
存储型 XSS 发生在应用程序保存不受信任的输入并在没有适当转义的情况下进行渲染时。对于 IMS 倒计时（≤ 1.3.5）：
- 插件接受来自认证用户（贡献者或更高）的内容。.
- 输入在存储或渲染之前没有得到充分清理，允许 HTML/JavaScript 持久存在。.
- Any user who views the page, widget, admin preview, or dashboard panel rendering the stored data may execute the attacker’s script.
- 利用该漏洞需要已登录的贡献者进行注入；在发布的材料中报告的 CVSS 约为 6.5。.
贡献者可以创建有时在管理员或公众可见的上下文中渲染的内容（短代码、预览、小部件），这就是为什么这个权限级别很重要。.
现实世界影响场景
- 账户接管： 脚本在管理员执行时可以提取 cookies 或令牌。.
- 破坏和垃圾邮件： 注入的脚本可能会显示不需要的内容、创建重定向或插入隐藏链接。.
- 供应链风险： 被劫持的管理员会话可用于将恶意代码推送到其他系统。.
- 凭据收集和网络钓鱼： 假管理员提示可以捕获特权凭据。.
- 声誉和SEO影响： 恶意重定向或内容可能导致黑名单或搜索惩罚。.
Even a small widget can be a high-impact vector because the payload executes in visitors’ or administrators’ browsers.
谁面临风险？
- 安装并在版本≤ 1.3.5上激活IMS倒计时的网站。.
- 允许贡献者级别注册或外部贡献者的网站。.
- 在没有额外检查的情况下，在管理员预览、部件或公共页面中呈现贡献者提供的内容的网站。.
