紧急安全公告：QuestionPro 调查中的存储型 XSS（≤ 1.0）— WordPress 网站所有者现在必须采取的措施

摘要： 一个影响 QuestionPro 调查 WordPress 插件版本 ≤ 1.0 的存储型跨站脚本漏洞（CVE-2026-1901）允许经过身份验证的贡献者+ 用户通过短代码属性存储恶意内容。此公告解释了风险、检测方法、立即缓解措施、开发者修复和事件响应行动。以香港安全从业者的视角撰写：务实、直接、以操作为重点。.

作者： 香港安全专家  |  日期： 2026-02-13

目录

• 快速总结和风险快照
• 此漏洞的工作原理（高层次，无利用代码）
• 谁面临风险以及现实的影响场景
• 检测：妥协迹象和要运行的查询
• WordPress 网站所有者的立即缓解措施
• 开发者指导：安全修复和清理最佳实践
• WAF / 虚拟补丁指导（与供应商无关）
• 操作硬化和长期控制
• 事件响应检查表和恢复
• 常见问题
• 推荐检查表（快速参考）
• 结论

快速总结和风险快照

• 漏洞： 经过身份验证的（贡献者+）通过短代码属性在 QuestionPro 调查插件中存储的跨站脚本（XSS）（≤ 1.0）。CVE-2026-1901。.
• 严重性： 中等（CVSS ~6.5 报告）。上下文很重要：在多作者网站上，贡献者级别的访问权限很常见。.
• 利用要求： 一个具有贡献者或更高权限的经过身份验证的账户，可以创建或编辑包含短代码的内容。.
• 影响： 存储型 XSS 可以在访客或管理员的浏览器中执行脚本 — 如果管理员/编辑查看了被妥协的内容，则可能发生会话盗窃、UI 重定向或更高权限的接管。.
• 披露时的修复状态： 在披露时没有可用的官方插件更新。在发布供应商补丁之前，请应用以下缓解措施。.

此漏洞的工作原理（概述 — 无利用细节）

WordPress 短代码接受属性并返回用于显示的 HTML。如果插件直接将属性值输出到页面而没有适当的清理或上下文感知的转义，则经过身份验证的用户可以将脚本或 HTML 插入这些属性中。由于内容被存储（帖子内容、帖子元数据或插件选项），这就成为了存储型 XSS：它在页面渲染时执行。.

关键点：

• 攻击者必须在目标网站上以贡献者或更高权限身份进行身份验证。.
• 存储型 XSS 是持久的，随着时间的推移可能影响多个用户。.
• 该漏洞通常源于输出时缺少 esc_attr()、esc_html()、wp_kses() 或类似的转义。.

谁面临风险以及现实的影响场景

风险网站：

• 任何安装并激活了 QuestionPro 调查的 WordPress 网站（≤ 1.0）。.
• 允许贡献者级别账户（访客作者、社区贡献者）的网站。.
• 编辑或管理员在管理界面预览贡献者提交的网站。.

现实场景：

1. A contributor creates a post containing a survey shortcode with malicious attributes. An administrator previews the post in the admin interface — the script runs in the admin’s browser, enabling session theft or malicious actions.
2. 一名贡献者更新小部件内容、帖子元数据或在编辑者/管理员访问的页面上显示的调查设置，导致在查看这些页面时执行脚本。.
3. 社会工程学被用来诱使编辑/管理员预览一个被攻陷的页面，从而触发更高权限的影响。.

检测：您网站可能被攻陷的迹象

Proactively search for suspicious content. Indicators include occurrences of