CVE-2026-1503: XSS in WordPress login_register Plugin

该漏洞允许未经身份验证的攻击者通过 CSRF 攻击注入任意 Web 脚本。攻击者可以诱骗管理员点击恶意链接，从而在 WordPress 站点上执行恶意 JavaScript 代码。这可能导致攻击者窃取管理员会话 Cookie，冒充管理员执行操作，篡改网站内容，甚至完全控制受影响的 WordPress 站点。由于该漏洞利用 CSRF 攻击，攻击者无需直接访问 WordPress 后台，只需诱骗管理员执行恶意操作即可。这使得攻击变得更加隐蔽和容易成功，潜在影响范围包括数据泄露、网站篡改和声誉损害。

WordPress websites utilizing the Login Register plugin, particularly those with administrator accounts that frequently interact with the plugin's settings. Shared hosting environments where multiple WordPress installations share the same server resources are also at increased risk, as a compromised plugin instance could potentially affect other sites on the same server.

• wordpress / composer / npm:

grep -r "login_register_login_post" /var/www/html/wp-content/plugins/login-register/

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/admin-post.php?action=login_register_settings_update | grep -i "login_register_login_post"

1. 2026-03-21Disclosure

   disclosure

1. 已保留2026-01-27
2. 发布日期2026-03-21
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-28

解决此漏洞的首要措施是升级到修复后的 login_register 插件版本。如果无法立即升级，可以考虑以下缓解措施：限制管理员访问权限，避免点击来自未知来源的链接；实施严格的 CSRF 保护机制，例如使用 nonce 验证；审查并加强 WordPress 站点的安全配置，确保所有输入都经过适当的验证和过滤。此外，可以考虑使用 Web 应用防火墙 (WAF) 来检测和阻止恶意请求。升级后，请确认漏洞已修复，可以通过尝试在设置页面注入恶意脚本来验证。