2026年10月19日 · 独立站技术动态
跨境日报10月19日消息：WordPress插件News Kit Addons for Elementor被披露存在存储型跨站脚本漏洞（CVE-2026-11390，CVSS 6.4），1.4.6及以下全部版本受影响，拥有贡献者（Contributor）权限的账号即可注入恶意脚本。WordPress.org官方插件库已自10月13日起临时关闭该插件下载，等待完整审查。
漏洞的利用门槛有多低
根据WPScan漏洞库记录，该漏洞存在于Site Logo Title与Single Author Box两个小工具中，成因是输入过滤与输出转义不足。攻击者只需拥有贡献者级别权限——这是很多站点开放给外部供稿人、实习编辑的最低内容权限——就能通过构造特定的elementor_ajax请求绕过前端SELECT控件限制，把任意JavaScript代码存进页面。脚本一旦被存入，之后每个访问该页面的用户都会触发执行，包括管理员。
存储型XSS的危险正在于此：它不像钓鱼链接那样需要逐一诱导点击，而是一次注入、持续生效。恶意脚本可以窃取登录凭证、植入跳转代码、篡改结算页面，对正在跑旺季转化的独立站杀伤力直接。
为什么官方库直接下架了
WordPress.org插件页面显示，News Kit Addons for Elementor已于2026年10月13日被临时关闭下载、等待完整审查。这款插件主打新闻资讯类站点的小工具集合，提供57个Elementor组件与主题构建器，正好命中大量内容型独立站的使用场景。官方下架是风险控制信号——开发者虽已发布1.4.7修复版，但在审查完成前，仍在用老版本的站点不能等。
10月以来WordPress生态安全事件密集：Bricksforge满分RCE漏洞遭在野利用在前，WordPress 6.9.10安全更新在后，核心、主题、插件三层都在补洞。建站套件的「插件清单审计」应该从年度动作改成月度动作。
排查与处置步骤
- 检查站点插件列表，确认是否安装News Kit Addons for Elementor；
- 版本≤1.4.6的立即升级至1.4.7或暂时停用；
- 盘点拥有贡献者及以上权限的账号，移除不再使用的供稿账号；
- 用Wordfence等安全插件全盘扫描，检查页面是否已被注入脚本；
- 等待官方审查结论期间，不重新从第三方渠道下载安装包。
常见问题（FAQ）
这个漏洞能被未登录攻击者利用吗？
不能。利用前提是拥有贡献者及以上权限的账号，重点是管控好账号权限发放。
已经安装但停用插件还有风险吗？
停用后漏洞小工具不再渲染，但历史已被注入的脚本仍需扫描清理，建议直接升级到修复版。
官方下架后还能更新吗？
已安装站点可通过后台正常接收1.4.7更新；新装站点需等审查结束后官方库重新开放。
暂无评论内容