| 插件名称 | 用户WP |
|---|---|
| 漏洞类型 | 跨站脚本攻击（XSS） |
| CVE 编号 | CVE-2026-5742 |
| 紧急程度 | 中等 |
| CVE 发布日期 | 2026-04-13 |
| 来源网址 | CVE-2026-5742 |
紧急：UsersWP 存储型 XSS (CVE-2026-5742) — WordPress 网站所有者现在必须采取的措施
作者： 香港安全专家
日期： 2026-04-13
标签： WordPress, 安全, 漏洞, WAF, UsersWP, XSS
摘要： 影响 UsersWP 的存储型跨站脚本 (XSS) 漏洞 (<= 1.2.60) 已被披露 (CVE-2026-5742)。具有订阅者权限的认证用户可以将有效负载注入徽章链接字段，该字段可能在稍后被渲染并在其他用户（包括管理员）查看某些 UI 元素时执行。请立即更新到 1.2.61 或应用以下缓解和控制步骤。.
发生了什么（简要）
- 易受攻击的组件： UsersWP 插件（版本 ≤ 1.2.60）。.
- 漏洞类型： 存储型跨站脚本（XSS）。.
- 攻击向量： 认证用户（订阅者）可以将精心制作的内容注入徽章链接字段，该字段随后在其他用户的浏览器中被渲染和执行。.
- 影响： 在受害者浏览器中执行任意 JavaScript（会话盗窃、权限提升、静默内容修改、持久后门）。.
- 补丁可用性： 在 UsersWP 1.2.61 中修复。如果可能，请立即更新。.
这对 WordPress 网站所有者的重要性
- 存储型 XSS 是持久的：恶意内容被保存在数据库中，并反复提供给访客和工作人员。.
- 个人资料和徽章显示通常对管理员和编辑可见 — 特权用户查看页面时可能无意中触发有效负载。.
- 攻击者可以将此与社会工程结合，以增加管理员或编辑执行有效负载的机会。.
- 允许开放注册或允许订阅者编辑个人资料字段的网站特别容易受到攻击。.
技术概述（漏洞如何工作 — 高层次）
问题源于一个接受用户输入的徽章链接字段，该字段将其存储在数据库中，并在没有适当清理或转义的情况下将内容输出到 HTML。典型的攻击流程：
