CVE-2026-105259— Easy Social Icons 4.0.2 管理员存储型 XSS 漏洞
一分钟漏洞结论
影响对象
Unknown Easy Social Icons
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
在 4.0.3 版本之前的 Easy Social Icons WordPress 插件未对 SVG 文件进行清理（sanitise），该插件将 SVG 添加到允许全站上传的文件类型列表中，导致拥有“作者”（Author）及以上角色的用户可以上传包含跨站脚本（XSS）攻击载荷的恶意 SVG 文件。若站点上同时安装了另一个 4.0.3 版本之前的 Easy Social Icons 插件，且该插件向未认证访客暴露了上传接口，则同一漏洞可在无需账户的情况下被触发。
可能的 ATT&CK 技术 1 AI
T1189 · Drive-by Compromise影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| Unknown | Easy Social Icons | < 4.0.3 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-105259 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Easy Social Icons < 4.0.3 - Author+ Stored XSS via SVG Upload
来源: CVE Program / CVE List V5
Vulnerability Description
The Easy Social Icons WordPress plugin before 4.0.3 does not sanitise SVG files, which it adds to the list of file types that may be uploaded site-wide, allowing users with the Author role and above to upload a malicious SVG containing XSS payloads. Where another installed Easy Social Icons WordPress plugin before 4.0.3 exposes an upload route to unauthenticated visitors, the same issue can be triggered without an account.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Unknown | Easy Social Icons | 0 ~ 4.0.3 | - |
|
二、漏洞 CVE-2026-105259 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-105259 的情报信息
请登录查看更多情报信息。
CVE-2026-105259 其他参考 (1)
-
https://wpscan.com/vulnerability/51f5716b-b338-497f-a52a-c76a039e01e8/ exploit vdb-entry technical-description
同批安全公告 · Unknown · 2026-11-05 · 共 29 条
| CVE-2026-107776 | 2.2 LOW | Dokan 5.3.3 以下版本优惠券支付绕过漏洞 |
| CVE-2026-90963 | Essential Real Estate <5.3.5 未授权信息泄露漏洞 | |
| CVE-2026-16304 | WP Event Manager 3.4.2 之前任意文章接管漏洞 | |
| CVE-2026-85347 | FV Player 7.5.56.7212 存储型跨站脚本漏洞 | |
| CVE-2026-85351 | FV Player 7.5.56.7212 媒体导入 SSRF 漏洞 | |
| CVE-2026-85346 | FV Player 7.5.56.7212 云存储文件泄露漏洞 | |
| CVE-2026-19256 | All In One Login 2.4.0-2.4.1 短信 OTP 暴力破解漏洞 | |
| CVE-2026-86442 | WP Event Manager 3.4.0-3.4.1 未授权IDOR漏洞 | |
| CVE-2026-86795 | Community Events 1.6.0 未认证待办事件披露漏洞 | |
| CVE-2026-85570 | Tutor LMS 4.1.3 订阅者测验答案泄露漏洞 | |
| CVE-2026-87856 | WooCommerce Subscriptions 2.0.0-2.1.0 未授权内容限制绕过 | |
| CVE-2026-88814 | YITH 礼品卡<4.38.1 竞态条件导致余额重复消费漏洞 | |
| CVE-2026-90964 | Essential Real Estate 5.3.5 未认证任意邮件发送漏洞 | |
| CVE-2026-90966 | Essential Real Estate 5.3.5 任意付费包激活与伪造发票漏洞 | |
| CVE-2026-90965 | Essential Real Estate 5.3.5 未认证未发布房源图片泄露 | |
| CVE-2025-15701 | Easy Social Icons 4.0.3 管理员存储型 XSS 漏洞 | |
| CVE-2025-15702 | Cloud Blocks 1.1.8 未认证存储型 XSS 漏洞 | |
| CVE-2026-91049 | EWWW Image Optimizer 8.7.4-8.9.0 存储型 XSS 漏洞 | |
| CVE-2026-90967 | Essential Real Estate 5.3.5 之前 IDOR 导致客户发票 PII 泄露 | |
| CVE-2026-100144 | IVPAY payments 1.0.8 未认证SQL注入漏洞 |
显示前 20 条，共 29 条。 查看全部 → →
IV. Related Vulnerabilities
Same product: Easy Social Icons