概述
CVE-2025-12672
Flickr Show <= 1.5 - 经过认证的（贡献者+）存储型跨站脚本攻击
漏洞描述
WordPress的Flickr Show插件在所有版本（包括1.5及以下版本）中，由于对'flickrshow'短代码的'div_height'参数输入清理和输出转义不足，存在存储型跨站脚本漏洞。这使得经过认证的攻击者（具有贡献者级别及以上权限）能够在页面中注入任意Web脚本，当用户访问被注入的页面时，这些脚本将会执行。
漏洞时间线
- 发布日期：2025年11月11日 凌晨4:15
- 最后修改：2025年11月11日 凌晨4:15
- 远程利用：是
- 来源：security@wordfence.com
受影响产品
目前尚未记录受影响的具体产品 总受影响供应商：0 | 产品：0
CVSS评分
CVSS 3.1评分
| 评分 | 版本 | 严重程度 | 向量 | 可利用性评分 | 影响评分 | 来源 |
|---|---|---|---|---|---|---|
| 6.4 | CVSS 3.1 | 中等 | 3.1 | 2.7 | 2.7 | security@wordfence.com |
| 6.4 | CVSS 3.1 | 中等 | 3.1 | 2.7 | 2.7 | MITRE-CVE |
解决方案
- 将Flickr Show插件更新到包含适当输入清理和输出转义的版本
- 将Flickr Show插件更新到最新版本
- 验证输入清理和输出转义是否已实施
- 如果可能，限制贡献者级别对插件的访问
参考链接
CWE - 常见弱点枚举
CWE-79：在网页生成过程中输入中和不当（跨站脚本）
常见攻击模式枚举和分类（CAPEC）
- CAPEC-63：跨站脚本（XSS）
- CAPEC-85：AJAX足迹识别
- CAPEC-209：使用MIME类型不匹配的XSS
- CAPEC-588：基于DOM的XSS
- CAPEC-591：反射型XSS
- CAPEC-592：存储型XSS
漏洞历史记录
2025年11月11日 - 收到来自security@wordfence.com的新CVE
| 操作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | 漏洞描述内容 | |
| 添加 | CVSS V3.1 | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N | |
| 添加 | CWE | CWE-79 | |
| 添加 | 参考链接 | 三个参考链接 |
CVSS 3.1评分详情
基础CVSS评分：6.4
- 攻击向量：网络
- 攻击复杂度：低
- 所需权限：低
- 用户交互：无
- 范围：已更改
- 机密性影响：低
- 完整性影响：低
- 可用性影响：无
