WordPress Plugin WPZOOM Portfolio 1.4.21 - Reflected Cross-Site Scripting (XSS) 漏洞概述 WordPress 插件 WPZOOM Portfolio 存在反射型跨站脚本漏洞。该漏洞允许攻击者通过构造恶意 POST 请求，在 AJAX 动作中注入恶意 JavaScript 代码。 影响范围 受影响软件: WordPress Plugin WPZOOM Portfolio 受影响版本: <= 1.4.21 测试环境: WordPress 6.x 平台: 多个平台 修复方案 使用上下文感知的输出转义，如 。 对输入数据进行严格的验证和过滤。 Proof of Concept (PoC) Step 1: 发送 POST 请求 Step 2: 验证 HTTP 响应 检查响应中是否成功注入了事件处理器： Step 3: 触发事件处理器 在受害者的浏览器中渲染时，触发事件处理器（悬停在加载的 portfolio 项目上）执行 JavaScript 代码。