平台
wordpress
组件
ays-popup-box
修复版本
5.5.0
5.5.1
CVE-2025-15611 描述了 Popup Box WordPress 插件的一个安全漏洞，该漏洞允许攻击者执行跨站脚本攻击 (XSS)。由于插件未能正确验证 nonce，攻击者可以创建或修改弹出窗口，从而在管理面板和前端执行任意 JavaScript 代码。该漏洞影响 Popup Box WordPress 插件的版本 0 到 5.5.0。该漏洞已在 5.5.0 版本中修复。
“Popup Box – Create Countdown, Coupon, Video, Contact Form Popups”插件中的存储型跨站脚本攻击（XSS）漏洞允许未经身份验证的攻击者将恶意脚本注入到WordPress页面中。这些脚本将在用户访问受损页面时执行，可能导致Cookie被盗、重定向到恶意网站或修改页面内容。CVSS评分达到7.2，表明漏洞利用相对容易，且影响可能很大。用户输入不足的清理和输出转义不足是此漏洞的主要原因。这会影响使用该插件的网站，攻击者可以通过操纵输入字段来插入JavaScript代码。
攻击者可以通过在插件的输入字段（例如弹出窗口配置中的文本字段）中注入恶意JavaScript代码来利用此漏洞。此代码将存储在数据库中，并在用户访问显示弹出窗口的页面时执行。由于没有身份验证，攻击者无需访问WordPress管理面板即可利用此漏洞。在流量大的网站上，漏洞利用更有效，这会增加恶意脚本在多个用户处执行的可能性。
漏洞利用状态
EPSS
0.02% (6% 百分位)
CVSS 向量
解决此漏洞的方法是将“Popup Box – Create Countdown, Coupon, Video, Contact Form Popups”插件更新到5.5.0或更高版本。此更新包含防止恶意脚本注入的必要修复。此外，请定期检查插件设置，以确保使用可用的安全选项。实施内容安全策略（CSP）可以帮助减轻XSS攻击的影响，即使更新不立即进行。监控服务器日志以查找可疑活动也是一种很好的做法，可用于检测和响应潜在攻击。
Update to version 5.5.0, or a newer patched version
漏洞分析和关键警报直接发送到您的邮箱。
XSS（跨站脚本攻击）是一种安全漏洞，允许攻击者将恶意脚本注入到合法的网站中。这些脚本在用户的浏览器中执行，从而可能允许攻击者窃取敏感信息或代表用户执行操作。
如果您使用的是“Popup Box”插件的5.5.0之前的版本，则很可能受到影响。请检查服务器日志中是否存在可疑活动。
CVSS（通用漏洞评分系统）是一种用于评估安全漏洞严重程度的标准。7.2的评分表示中等至高风险。
CSP是一种额外的安全层，允许网站管理员定义可以在网页上加载哪些资源（例如脚本、图像和样式）。这有助于通过限制未经授权脚本的执行来防止XSS攻击。
如果您怀疑您的网站已被破坏，请立即将插件更新到最新版本，扫描您的网站是否存在恶意软件，并考虑咨询安全专家以获得帮助。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。