WordPress Brookside 主题 <= 1.4 - 反射型跨站脚本 (XSS) 漏洞

此XSS漏洞允许攻击者在受影响的Brookside WordPress插件页面上注入恶意JavaScript代码。当用户访问这些页面时，恶意脚本将执行，攻击者可以窃取用户的Cookie、会话令牌和其他敏感信息。攻击者还可以利用此漏洞重定向用户到恶意网站，或在页面上显示虚假内容。由于Brookside插件通常用于管理网站内容和用户数据，因此此漏洞的潜在影响非常大，可能导致网站被完全控制，用户数据被泄露。

Websites utilizing ArtstudioWorks Brookside, particularly those with user input fields that are not properly sanitized, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one website could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r '<script>' /var/www/brookside/wp-content/plugins/

• generic web:

curl -I https://your-brookside-site.com/vulnerable-page?param=<script>alert(1)</script>

• wordpress / composer / npm:

wp plugin list --status=inactive

• wordpress / composer / npm:

wp plugin search brookside

• wordpress / composer / npm:

wp plugin update --all

1. 2026-03-19Disclosure

   disclosure

1. 已保留2025-12-09
2. 发布日期2026-03-19
3. 修改日期2026-04-28
4. EPSS 更新日期2026-03-26

最有效的缓解措施是立即将Brookside插件升级到已修复的版本。如果无法立即升级，可以考虑以下临时缓解措施：实施严格的输入验证和输出编码，以防止恶意脚本注入。使用Web应用防火墙（WAF）来过滤恶意请求。监控Brookside插件的日志文件，以检测可疑活动。如果Brookside插件不再维护，考虑替换为替代插件。