WordPress Molla 主题 < 1.5.19 - 反射型跨站脚本 (XSS) 漏洞

此 XSS 漏洞允许攻击者在受影响的 Molla WordPress 网站上执行任意 JavaScript 代码。攻击者可以通过各种方式利用此漏洞，例如通过恶意链接、表单输入或 URL 参数。一旦成功，攻击者可以窃取用户 Cookie、重定向用户到恶意网站、修改网站内容或执行其他恶意操作。由于 WordPress 网站通常包含敏感信息和用户数据，因此此漏洞可能对网站所有者和用户造成重大风险。攻击者可以利用此漏洞进行钓鱼攻击，窃取用户凭据，或破坏网站的完整性。

Websites using the Molla WordPress theme, particularly those with user input fields or forms, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromised Molla installation on one site could potentially impact others.

• wordpress / composer / npm:

grep -r '<script>' /var/www/html/wp-content/themes/molla/*

• generic web:

curl -I https://example.com/?param=<script>alert(1)</script>

• wordpress / composer / npm:

wp plugin list --status=inactive | grep molla

1. 2026-03-25Disclosure

   disclosure

1. 已保留2026-03-12
2. 发布日期2026-03-25
3. 修改日期2026-04-29
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 Molla WordPress 主题升级到 1.5.19 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 来过滤恶意请求，并实施输入验证和输出编码等安全措施。此外，建议定期审查 WordPress 网站的代码和配置，以识别和修复潜在的安全漏洞。如果无法升级，请确保对所有用户输入进行严格的验证和过滤，并对输出进行适当的编码，以防止 XSS 攻击。