CVE-2025-10636CVE-2025-10636是WordPress插件NS Maintenance Mode中的一个存储型跨站脚本（Stored XSS）安全漏洞。该插件版本至1.3.1存在安全缺陷，在处理某些设置参数时未能进行充分的输入清理（sanitisation）和输出转义（escape）。攻击者可通过利用此漏洞，在管理员访问插件设置页面时注入恶意JavaScript代码，实现存储型XSS攻击。由于漏洞需要高权限用户（如管理员）触发，即使在多站点WordPress环境中禁止了unfiltered_html能力，攻击者仍可利用此漏洞执行JavaScript代码，从而可能窃取管理员会话、修改网站内容或执行其他恶意操作。CVSS评分3.5分，属于低危漏洞，但仍建议及时修复。
该漏洞属于存储型XSS（Stored Cross-Site Scripting）类型，存在于NS Maintenance Mode插件的设置页面。插件在保存用户输入的某些配置参数时，未正确调用WordPress的安全函数进行输入清理（如sanitize_text_field、esc_attr等）和输出转义（如esc_html、esc_js等）。攻击者以管理员身份登录后，可在插件设置中注入包含恶意脚本的内容（如<script>标签或事件处理器onerror、onload等）。当管理员再次访问该设置页面时，恶意代码会被浏览器执行。由于是存储型XSS，恶意脚本会永久保存在数据库中，影响所有访问该页面的用户。攻击者可利用此漏洞窃取管理员Cookie、劫持会话、修改后台设置或植入后门。