ManageWP Worker <= 4.9.31 - 未认证的存储型跨站脚本 (Unauthenticated Stored Cross-Site Scripting)

攻击者可以利用此 XSS 漏洞在受感染的 ManageWP Worker 插件页面上注入任意 JavaScript 代码。这可能导致攻击者窃取用户会话 cookie、重定向用户到恶意网站、篡改页面内容或执行其他恶意操作。由于该漏洞不需要身份验证，因此攻击范围广泛，可能影响所有使用受影响插件的 WordPress 网站。攻击者可以通过各种方式注入恶意脚本，例如通过评论、表单或其他用户输入字段。成功利用此漏洞可能导致网站被完全控制，并对用户数据构成严重威胁。

WordPress websites utilizing the ManageWP Worker plugin, particularly those running versions 4.9.31 or earlier, are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as they may be slower to apply security patches. Sites heavily reliant on user-generated content within the ManageWP Worker plugin are also more vulnerable.

• wordpress / composer / npm:

grep -r "<script>" /var/www/html/wp-content/plugins/managewp-worker/

• wordpress / composer / npm:

wp plugin list --status=active | grep managewp-worker

• wordpress / composer / npm:

wp plugin update managewp-worker --all

1. 2026-04-13Disclosure

   disclosure

2. 2026-04-13Patch

   patch

1. 发布日期2026-04-13
2. 修改日期2026-04-21

最有效的缓解措施是立即将 ManageWP Worker 插件升级至 4.9.32 或更高版本。如果无法立即升级，可以考虑禁用插件，或者限制对插件的访问权限。此外，实施严格的输入验证和输出编码策略，以防止进一步的 XSS 攻击。监控 WordPress 网站的访问日志，查找可疑活动，例如来自未知来源的 JavaScript 代码注入尝试。使用 Web 应用防火墙 (WAF) 可以帮助过滤恶意请求。