CVE-2024-13362CVE-2024-13362 是一个影响多个 WordPress 插件和主题的安全漏洞。该漏洞源于对 URL 参数的输入清理和输出转义不足，导致存在反射型跨站脚本攻击（XSS）风险。未经身份验证的攻击者可以通过诱导用户点击特制链接，在受害者浏览器中执行任意恶意脚本。成功利用此漏洞可能导致窃取用户会话 Cookie、重定向到恶意网站或篡改页面内容，对用户机密性和完整性构成威胁。
该漏洞的核心在于多个 WordPress 插件集成的 Freemius SDK 资源文件（如 `freemius-pricing.js`）中存在输入验证缺陷。当处理 HTTP GET 请求中的 `url` 参数时，应用程序未能对其进行严格的输入清理和输出转义，直接将用户可控的数据反射回页面响应中。由于攻击向量为网络（AV:N）且无需认证（PR:N），攻击者可以轻松构造包含恶意 JavaScript 代码的 URL。虽然利用该漏洞需要用户交互（UI:R），例如诱导受害者点击钓鱼链接，但一旦触发，恶意脚本将在受害者的浏览器上下文中以同源策略运行。这允许攻击者窃取敏感的会话 Cookie、执行未授权操作或重定向用户。受影响的组件广泛存在于使用旧版 Freemius SDK 的插件中，影响范围较广，建议及时更新。