CVE-2025-11821: WordPress Woocommerce Products By Custom Tax插件存储型XSS漏洞

WordPress的Woocommerce Products By Custom Tax插件存在存储型跨站脚本(XSS)漏洞。攻击者可以通过woo_products_custom_tax短代码注入恶意脚本。该漏洞源于对用户输入的属性值缺乏适当的输入验证和输出编码。攻击者需要至少具有contributor级别的WordPress账号权限即可利用此漏洞，成功利用后可在受感染页面执行任意JavaScript代码，可能导致会话劫持、凭据窃取或其他恶意操作。

漏洞出现在插件处理woo_products_custom_tax短代码的环节。当用户提供的属性参数未被正确过滤和转义时，恶意代码会被永久存储在数据库中。攻击者构造包含JavaScript代码的属性值，该代码会在其他用户访问包含该短代码的页面时执行。由于存储型XSS的特性，这种攻击对所有访问受影响页面的用户都有效。