CVE-2022-2941
中已发布
WP-UserOnline <= 2.88.0 - 已认证（管理员及以上）存储型跨站脚本
- 已发布
- 2022年9月6日
- 已更新
- 2026年4月8日
- 分配 CNA
- Wordfence
- 观察到的证据
- 2022年9月23日
初级CVSS
5.5/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N7.3%
低 · 未来 30 天
- 百分位
- 94.1%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
WordPress 的 WP-UserOnline 插件在 2.88.0 及更早版本中存在多个存储型跨站脚本（Stored Cross-Site Scripting）漏洞。造成此问题的原因在于 "Naming Conventions" 部分中的所有字段均未正确清理用户输入，也未在输出时进行转义。这使得拥有管理权限的已认证攻击者能够将 JavaScript 代码注入到设置中，当用户访问被注入的页面时，该代码便会执行。此漏洞仅影响多站点安装以及已禁用 unfiltered_html 的安装。
来源
1UnD3sc0n0c1d0 · php · 2022年9月23日
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。