CVE-2025-10580Widget Options是WordPress平台上最受欢迎的Widget和Block控制插件，允许用户对页面上的小部件进行细粒度的显示控制。该插件在4.1.2及之前的所有版本中存在存储型跨站脚本(XSS)漏洞。漏洞源于多个函数对用户输入的过滤和转义不足，攻击者可以通过WordPress的Widget Options功能注入恶意JavaScript代码。由于输入验证不完善，恶意脚本会被永久存储在数据库中，当其他用户访问包含恶意内容的小部件页面时，注入的脚本会自动执行。这可能导致会话劫持、敏感信息窃取、管理员权限滥用等严重安全问题。攻击者只需要拥有Contributor级别的账户即可利用此漏洞，无需管理员权限。
该漏洞存在于Widget Options插件的多个函数中，主要原因是缺少对用户输入的适当清理和输出转义。具体来说，当插件处理Widget的配置选项时，没有对传入的参数进行充分的HTML标签过滤和JavaScript代码清理。攻击者可以利用WordPress的小部件编辑功能，在Widget Options的相关设置字段中插入包含<script>标签或事件处理器(如onerror、onload)的恶意代码。由于插件直接将用户输入存储到数据库的wp_options或相关表中，当这些数据在前端页面输出时，浏览器会将其作为合法的HTML/JS执行。存储型XSS的危险性在于：攻击只需一次注入，所有访问被污染页面的用户都会受到攻击影响。攻击者通常利用此漏洞窃取用户Cookies、伪造表单提交或进行钓鱼攻击。