CVE-2025-11745CVE-2025-11745是WordPress Ad Inserter插件中的一个存储型跨站脚本（Stored XSS）漏洞。该插件是WordPress平台上广泛使用的广告管理和插入工具，用于在网站页面中插入Google AdSense和其他广告代码。漏洞源于插件的'adinserter'短代码在处理用户提供的属性时，未能正确进行输入清理和输出转义。攻击者可以利用custom field功能，通过adinserter短代码注入恶意JavaScript脚本。由于是存储型XSS，恶意脚本会被永久保存在数据库中，所有访问包含该短代码页面的用户都会执行攻击者植入的脚本。攻击者可以利用此漏洞窃取用户会话cookie、劫持用户账户或进行钓鱼攻击。漏洞影响所有版本至2.8.7版本，需要拥有contributor级别权限的认证用户即可利用此漏洞。
漏洞根源在于adinserter短代码处理用户输入时缺乏安全防护。攻击者作为contributor或更高权限用户，可在WordPress的custom field中插入包含恶意JavaScript代码的adinserter短代码属性。插件在渲染页面时，直接将未经过滤的用户输入输出到HTML中，导致恶意脚本被执行。具体攻击流程如下：攻击者创建或编辑文章/页面，在custom field中添加包含XSS payload的adinserter短代码参数（如[adinserter name='test' data='"><script>alert(document.cookie)</script>']），保存后插件在页面输出时未对属性值进行HTML实体转义，恶意脚本被浏览器解析执行。由于短代码属性通过custom field传递，攻击者可以绕过WordPress编辑器的内容过滤机制，直接注入有效载荷。此漏洞影响插件的所有核心功能，包括广告插入、代码管理和页面优化模块。