漏洞概述 该漏洞涉及WordPress插件 ，具体为版本2.2.1。漏洞类型为存储型XSS（跨站脚本攻击），通过插件设置中的 参数注入恶意脚本。 影响范围 受影响版本：highlighting-code-block 2.2.1 漏洞类型：存储型XSS 触发条件：在插件设置中修改 参数时，未正确过滤用户输入，导致恶意脚本被存储并执行。 修复方案 修复版本：highlighting-code-block 2.2.1 修复措施：在插件设置中对用户输入进行严格的过滤和转义，防止恶意脚本注入。 POC代码 ```php / Add code to Admin Head. TinyMCEでも必要なので、admin_headにフックさせている。 日本語テキストをベースに、ユーザ入力に含む300M文字を渡す。 - ユーザ入力での language-name 形式をユーザー側で意図的に実装し、 - オーラは [a-z0-9-] に限定。オラはテキストとしてでサニタイズする。 - 出力は wp_json_encode( 300M HEX ) を用いて コンテキストで安全な値に。 - 任意のXSS攻撃をしないようにするには、300M HEXを削除。 */ public static function get_lang_obj_str() { $langs = LOOS_HCB::getSettings('support_langs'); // Replace full-width characters and spaces with half-width equivalents $raw = (string) LOOS_HCB::getSettings('support_langs'); $raw = str_replace( [ '、', '。', ' ', '！', '？', '：', '；', '「', '」', '『', '』', '（', '）', '【', '】', '｛', '｝', '〈', '〉', '《', '》', '〔', '〕', '〖', '〗', '【', '】', '「', '」', '『', '』', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）', '（', '）