WordPress 4.0以下版本存在跨站脚本安全漏洞

问题聚焦于一个名为wptexturize()的字符串格式化函数。该函数会在每条评论上执行，将普通字符转义为HTML实体，例如将引号转换为弯引号。为避免干扰HTML格式，wptexturize()首先以HTML标签为基准，将文本分割成若干段。除HTML标签外，方括号标签（如[code]）也在处理范围内。而分割过程依赖于一段正则表达式。

在wp-includes/formatting.php文件第156行，代码如下：

$textarr = preg_split('/(<.*>|\[.*\])/Us', $text, -1,

PREG_SPLIT_DELIM_CAPTURE);

漏洞即源于此处。如果评论中同时包含尖括号<>和方括号[]，会导致转义混淆，部分恶意代码未被正确转义。攻击者利用这一缺陷，在允许的HTML标签中注入样式参数，实施XSS攻击。例如，通过创建一个透明标签覆盖整个窗口，进而捕获用户的onmouseover事件。

漏洞利用测试方法

想要检测你的网站是否受此漏洞影响？可尝试以下测试代码：

如果返回结果与预期不符，则说明网站很可能存在漏洞。

漏洞修复建议与临时方案

该漏洞极易被利用，WordPress官方强烈建议所有用户尽快安装补丁。好消息是，WordPress 4.0.1版本已彻底修复此漏洞。官方于11月20日发布补丁，目前大多数WordPress网站应已收到补丁更新提示。

若因某些原因无法立即更新补丁，Klikki Oy公司还提供了临时解决方案（workaround）。可在wp-includes/formatting.php文件开头增加一个返回语句，绕过该问题：

function wptexturize($text) {

return $text; // ADD THIS LINE

global $wp_cockneyreplace;

此方法虽为权宜之计，但总比毫无防护要好。

额外提醒：注意插件安全

最后，若您还使用了WP-Statistics等WordPress插件，务必及时更新补丁。这些插件自身也可能存在跨站脚本漏洞，攻击者同样可以利用其发起跨站攻击。切勿给漏洞留下可乘之机。