CVE-2020-37225Powie's WHOIS Domain Check 0.9.31版本存在存储型跨站脚本（XSS）漏洞。该漏洞允许经过身份验证的攻击者利用插件设置页面中未经净化的输入字段注入恶意JavaScript载荷。当管理员用户访问受影响的配置页面时，恶意脚本将在其浏览器上下文中执行，从而导致权限提升。
该漏洞位于Powie's WHOIS Domain Check插件的`pwhois_settings.php`配置处理逻辑中。由于应用程序在处理用户提交的配置数据时，未对`textarea`和`input`元素中的内容实施严格的HTML实体编码或过滤，导致存在存储型XSS。攻击者只需具备低权限账户，即可在插件设置字段中构造并提交包含恶意JavaScript代码的Payload。该Payload被持久化存储在服务器端。一旦具有高权限的管理员用户访问该配置页面，嵌入的恶意脚本便会自动在管理员的浏览器上下文中执行。利用此机制，攻击者可以窃取管理员的Session ID、Cookie等敏感凭证，进而劫持管理员会话，实现权限提升或执行未授权的管理操作。