漏洞速览
- 漏洞编号：
CVE-2026-93756 - 风险评分：
7.2（高危） - 首次披露：2026-10-01
- 最近更新：2026-10-01
- 软件类型：插件
- 软件标识：
custom-facebook-feed - 受影响版本：<= 4.13.0
- 修复版本：4.14.0
- 是否已修复：是
漏洞详情
WordPress 的 Smash Balloon Social Post Feed（Simple Social Feeds for WordPress）插件在 4.13.0 及以下所有版本中，存在一处存储型跨站脚本（XSS）漏洞，根源在于管理后台构建器预览中通过 v-html 处理 Facebook 评论消息时，对输入过滤和输出转义均不充分。 未认证攻击者可利用此漏洞注入任意 Web 脚本，一旦管理员访问动态预览页面，脚本即会执行。
该攻击仅需一个 Facebook 账号即可在关联的 Facebook 页面发表评论，无需任何 WordPress 凭证；此外，由于代码使用 v-show 而非 v-if，即使评论区在页面上并不可见，注入的 HTML（包括 onerror 处理器）仍会在 DOM 中被解析。 结合 admin/addon-functions.php 中 cff_install_addon AJAX 处理器缺乏 URL 验证这一缺陷，注入脚本在管理员会话中运行后可触发从攻击者控制 URL 进行的任意插件安装，最终可能导致服务器端代码执行。
影响与风险
- 漏洞类型：Unauthenticated Stored Cross-Site Scripting via Facebook Comment Message in Admin Builder Preview
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Yuto Hyakumoto
修复建议
- 按官方建议执行修复：更新至 4.14.0 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
