2026年5月22日，CNVD收录了WordPress插件QuestionPro Surveys的一个跨站脚本漏洞（CVE-2026-1901）。该插件版本 ≤1.0 中，攻击者可在具备订阅者权限后注入恶意脚本，导致前台用户会话被窃取、页面被篡改。官方尚未发布修复补丁，建议立即禁用该插件或部署 百度云防护WAF 利用XSS检测规则实时拦截攻击流量。
一、 漏洞核心信息
| 项目 | 详情 |
|---|---|
| CNVD编号 | CNVD-2026-21382 |
| CVE编号 | CVE-2026-1901 |
| 危害级别 | 中（AV:N/AC:L/Au:S/C:P/I:P/A:N） |
| 漏洞类型 | 存储型/反射型跨站脚本（XSS） |
| 影响产品 | WordPress QuestionPro Surveys 插件 ≤ 1.0 |
| 攻击条件 | 需要拥有订阅者或更高权限的WordPress用户账号 |
| 攻击后果 | 窃取Cookie、会话令牌，篡改网页，钓鱼诱导 |
| 官方补丁 | 暂无（厂商尚未提供修复方案） |
| 收录时间 | 2026-05-22 |
二、 漏洞原理
2.1 问题出在哪里？
QuestionPro Surveys 插件用于在WordPress网站中创建和管理调查问卷。由于插件在输出用户提交的数据（如问卷答案、评论、参数）时未进行充分的HTML实体编码或过滤，攻击者可利用该缺陷注入恶意的JavaScript代码。
触发点推测：根据参考链接中的代码行（index.php#L31），插件在处理某些参数时可能直接拼接到前端页面中。攻击者在提交包含<script>alert(1)</script>的问卷答案或设置时，恶意代码会被存储到数据库，并在其他用户访问问卷结果或管理界面时被执行。
2.2 攻击链路
- 攻击者以订阅者身份登录WordPress（普通注册用户即可）。
- 进入QuestionPro Surveys插件创建问卷或提交答案，在可输入字段中注入XSS载荷。
- 恶意代码被存入数据库。
- 当管理员或普通用户查看问卷报告或答题页面时，代码在受害者浏览器中执行。
- 攻击者窃取Cookie、会话令牌，冒充受害者权限，甚至进一步获取管理员后台控制权。
由于XSS可与CSRF、权限提升漏洞组合利用，潜在危害高于CNVD评定的“中危”。
三、 漏洞危害与影响范围
| 危害类型 | 具体后果 |
|---|---|
| 会话劫持 | 窃取登录用户的Cookie，冒充身份执行操作（如发布文章、修改配置） |
| 钓鱼攻击 | 篡改页面内容，嵌入虚假登录框，骗取管理员密码 |
| 数据窃取 | 劫持管理员会话后可导出用户列表、订单信息等敏感数据 |
| 插件传播 | 通过XSS向其他用户发送恶意链接，扩大感染范围 |
影响版本：QuestionPro Surveys 1.0 及所有低于此版本的旧版。WordPress官方插件库中可能仍有大量网站正在使用该插件。
官方状态：厂商尚未提供任何补丁，参考链接仅为代码位置，无修复版本。这意味着使用该插件的网站永久暴露于XSS风险中。
四、 修复与防护方案
4.1 彻底解决（推荐）
- 立即禁用并卸载 QuestionPro Surveys 插件。如果必须使用调查功能，请替换为其他有安全维护的替代插件（如WPForms、Formidable Forms）。
- 搜索并删除 数据库中残留的恶意XSS载荷（使用插件如“Better Search Replace”清理）。
4.2 临时缓解（无法卸载时）
- 限制低权限用户：在WordPress后台“设置→常规”中，关闭“任何人都可以注册”。仅允许信任的用户发布内容。
- 部署WAF：使用Web应用防火墙实时检测并拦截XSS攻击流量。即使插件代码存在漏洞，WAF可在请求层面阻断恶意载荷的提交或执行。
4.3 推荐使用百度云防护WAF
百度云防护WAF 内置XSS检测规则（属于基础Web防护引擎），可自动识别并拦截各类编码混淆后的XSS攻击。即使QuestionPro Surveys插件存在存储型XSS漏洞，WAF可在恶意载荷提交时直接阻断HTTP请求，防止入库。
配置建议：
- 登录百度云防护控制台 → 防护配置 → Web防护 → Web基础防护，确保策略集为“中级”或“高级”。
- 确认“跨站脚本（XSS）防护”规则已开启（默认开启）。
- 对于已存在数据库的XSS载荷，WAF还可在响应阶段进行过滤或替换（需开启“响应体检测”功能）。
此外，百度云防护还提供：
- JA4指纹识别：锁定自动化XSS扫描工具，从源头阻断探测。
- IP情报库：封杀恶意IP段，减少攻击源。
- 套餐计费，用完即停：不会因为被攻击而产生天价后付费账单。
五、 站长/企业行动指南
| 优先级 | 措施 | 说明 |
|---|---|---|
| 紧急 | 禁用并卸载 QuestionPro Surveys 插件 | 彻底消除漏洞 |
| 高 | 部署百度云防护WAF | 即时拦截XSS攻击，提供虚拟补丁 |
| 中 | 更换为安全的问卷插件 | 如WPForms、Formidable Forms等持续维护的插件 |
| 低 | 定期审计用户提交内容 | 手动清理可疑的JavaScript代码 |
六、 总结
QuestionPro Surveys 插件的跨站脚本漏洞虽被评定为“中危”，但因官方无补丁，所有使用该插件1.0及以下版本的WordPress网站都将永久面临XSS攻击风险。攻击者只需一个低权限账号即可注入恶意代码，导致会话劫持和数据泄露。
最彻底的方案是卸载插件。如因业务依赖无法移除，请务必部署百度云防护WAF，利用其强大的XSS检测能力在网络层实时拦截攻击，为你的网站提供等效的虚拟补丁保护。
如果你不确定自己的网站是否受此漏洞影响，或想为WordPress网站添加专业的WAF防护，欢迎联系主机吧。我们提供免费安全评估和百度云防护接入指导。
主机吧 | 百度云防护官方合作伙伴
提供WAF接入、高防CDN、高防IP、高防服务器、SSL证书一站式服务
让XSS攻击无处遁形，让每一个WordPress网站都固若金汤。
