TL;DR

On 30 January 2026 a DOM-based stored Cross‑Site Scripting (XSS) issue affecting NextGEN Gallery versions <= 3.59.11 (CVE‑2025‑2537) was disclosed by researcher Webbernaut and fixed in 3.59.12. A malicious contributor account can persist payloads in gallery metadata that are later interpreted unsafely by client-side ThickBox code, leading to script execution in visitors’ browsers — including editors or administrators who interact with gallery items. The CVSS is 6.5. Exploitation requires an authenticated contributor account and user interaction, but real risk exists for multi-author, membership, and community sites that accept uploads from untrusted users.

如果您运行NextGEN Gallery，请立即更新到3.59.12。如果您无法立即更新，请应用下面描述的缓解措施（加固、通过您的WAF进行虚拟补丁、检测和事件响应）以降低风险。.

为什么这很重要（用简单的英语）

NextGEN Gallery被广泛使用。问题的出现是因为贡献者提供的元数据被存储并随后用作ThickBox灯箱脚本的输入。ThickBox以可能执行动态HTML/JS的方式处理内容，如果该内容没有被正确转义。拥有贡献者权限的攻击者可以将持久有效负载注入画廊字段；当更高权限的用户或任何访问者触发易受攻击的显示时，有效负载将在他们的浏览器中执行。.

后果：会话盗窃、账户接管、持久性垃圾邮件或重定向、客户端恶意软件，或滥用管理员会话以更改网站内容。在贡献者普遍存在的香港协作网站或区域社区门户上，这是一种现实威胁。.

技术摘要

• 漏洞类型：存储型基于DOM的跨站脚本（XSS）
• 受影响的软件：WordPress的NextGEN Gallery插件
• 受影响的版本： <= 3.59.11
• 修复于：3.59.12
• CVE：CVE‑2025‑2537
• 所需权限：贡献者（已认证）
• CVSS（信息性）：6.5（需要用户交互）

工作原理（概念上）

• 贡献者可以添加/编辑画廊元数据（标题、描述、链接字段）。.
• 插件将该元数据存储在数据库中。.
• 当画廊被渲染时，插件或ThickBox代码使用存储的数据构建DOM片段或属性，而没有足够的上下文感知转义。.
• 当访问者或管理员与画廊UI交互时，ThickBox处理这些片段，浏览器可能会执行攻击者提供的HTML/JS——这使得它成为一种持久的、基于DOM的存储型XSS。.

注意：基于DOM的XSS通常涉及API，如innerHTML、document.write或构造带有事件处理程序的HTML字符串。3.59.12修复解决了不安全的客户端使用和/或在注入之前清理值。.

现实攻击场景

1. 小型编辑网站与贡献者
   一位贡献者上传图像并设置精心制作的画廊标题。编辑或管理员稍后查看或预览画廊；注入的脚本执行并窃取会话cookie或使用管理员的会话进行更改。.
2. 会员或社区网站
   攻击者创建带有持久脚本的画廊，目标是已登录的会员。当会员查看画廊时，浏览器执行有效载荷，窃取凭据或执行不必要的操作。.
3. 公开提交
   接受外部提交的网站是有吸引力的目标：贡献者上传媒体并制作元数据，以便在访客打开灯箱时触发有效载荷。.

即使只要求“贡献者”，当特权用户与内容互动时，这也会变得风险更高——这是协作平台上的常见模式。.

网站所有者的紧急措施（优先级排序）

1. 将NextGEN Gallery更新到3.59.12版本（或更高）——如果可以，请立即执行此操作。这是最重要的一步。.
2. 如果您无法立即更新：
   • 暂时停用NextGEN Gallery。.
   • 或者如果插件提供该配置，则禁用ThickBox功能。.
3. 限制贡献者的权限：
   • 在修补之前，防止贡献者上传文件。.
   • 限制谁可以创建或编辑画廊。.
   • 暂时撤销不可信用户的贡献者角色。.
4. 在可能的情况下，通过您的Web应用程序防火墙（WAF）应用虚拟补丁——请参阅下面的WAF指南。.
5. 扫描您的数据库以查找注入的脚本，并清理任何恶意条目（请参阅检测部分）。.
6. 如果发现确认的利用情况，请强制重置高特权账户的密码。.

WAF如何立即缓解此问题

WAF（Web应用程序防火墙）可以在您更新时提供虚拟补丁。使用通用的、经过良好测试的规则，并在阻止之前以监控模式进行测试，以避免误报。.

建议的规则行为（概念性）

• Block POST/PUT requests to gallery save endpoints that contain suspicious content patterns such as
  查看我的订单

  0

  小计

  税费和运费在结账时计算

  结账