CVE-2023-7063 WPForms Pro XSS 漏洞：影响版本及修复方法

针对 WPForms Pro 插件的 CVE-2023-7063 漏洞属于存储型 XSS 攻击，其攻击场景主要通过恶意表单提交参数实现。由于插件在处理用户输入时缺乏足够的过滤与输出转义机制，未经身份验证的攻击者可以构造包含恶意 JavaScript 脚本的表单数据并提交。一旦这些数据被存储在数据库中，每当管理员或普通用户访问包含这些注入内容的页面时，恶意脚本就会在用户的浏览器上下文中自动执行。受影响的数据和权限风险包括：攻击者可以窃取用户的 Session Cookie 以劫持管理员会话、进行钓鱼攻击以获取敏感凭据、重定向用户至恶意网站，甚至通过劫持后台管理权限来篡改网站内容或植入后门。由于该漏洞允许未经身份验证的攻击者实施攻击，其攻击半径覆盖了所有安装了受影响版本插件的 WordPress 网站，可能导致整个网站管理权限的丧失。

1. 已保留2023-12-21
2. 发布日期2024-01-20
3. 修改日期2025-05-30
4. EPSS 更新日期2026-04-02

修复此漏洞的最有效且唯一的推荐方法是立即将 WPForms Pro 插件升级至 1.8.5.4 或更高版本。由于该漏洞涉及存储型 XSS，在完成升级后，建议管理员检查已有的表单提交记录，清理可能包含异常 HTML 标签或脚本代码的条目，以防止残留的恶意脚本在后续访问中触发。如果由于某些原因无法立即升级，临时的缓解措施包括使用 Web Application Firewall (WAF) 规则来拦截包含常见 XSS 攻击载荷（如 <script> 标签）的 POST 请求，但这仅能作为防御加固，不能替代补丁。升级完成后，应通过检查插件版本号并观察后台管理页面是否出现异常脚本行为来验证修复是否成功。