WordPress Taboola Pixel 插件 <= 1.1.4 - 反射型跨站脚本 (XSS) 漏洞

该 XSS 漏洞允许攻击者在受影响的 Taboola Pixel 集成网站上执行任意 JavaScript 代码。攻击者可以通过各种方式注入恶意脚本，例如通过 URL 参数、表单输入或其他用户可控制的输入点。一旦脚本成功注入，攻击者可以窃取用户的 Cookie、会话令牌和其他敏感信息。此外，攻击者还可以利用该漏洞将用户重定向至恶意网站，执行恶意操作，或篡改网站内容。由于 Taboola Pixel 广泛应用于各种网站，该漏洞的潜在影响范围非常广泛，可能影响大量用户。

Websites utilizing the Taboola Pixel component, particularly those with user-supplied input that is not properly sanitized before being used within the Taboola Pixel, are at risk. Shared hosting environments where multiple websites share the same Taboola Pixel installation are also potentially vulnerable, as a compromise on one site could impact others.

• wordpress / composer / npm:

grep -r '<script>' /var/www/html/wp-content/plugins/taboola-pixel/*

• generic web:

curl -I https://example.com/?param=<script>alert(1)</script>

• wordpress / composer / npm:

wp plugin list | grep taboola-pixel

1. 2026-03-25Disclosure

   disclosure

1. 已保留2026-03-12
2. 发布日期2026-03-25
3. 修改日期2026-04-29
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 Taboola Pixel 升级至 1.1.5 或更高版本。如果由于兼容性问题无法立即升级，可以考虑以下临时缓解措施：首先，审查 Taboola Pixel 的所有输入点，确保所有输入都经过适当的验证和清理，以防止恶意脚本注入。其次，实施严格的输入验证规则，限制允许的字符和数据类型。第三，使用内容安全策略 (CSP) 来限制浏览器可以加载的脚本来源，从而降低 XSS 攻击的风险。最后，监控网站的访问日志和错误日志，以检测可疑的活动，并及时采取措施。