CVE-2025-11867CVE-2025-11867是WordPress Bg Book Publisher插件中存在的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞由Wordfence安全团队的研究员发现并报告，CVSS评分为6.4分，属于中危级别漏洞。Bg Book Publisher是一款用于WordPress的书籍发布管理插件，允许网站管理员管理和展示书籍信息，包括作者、标题、简介等内容字段。
该漏洞存在于插件处理书籍作者（book_author）自定义字段的过程中。具体而言，当贡献者（Contributor）级别及以上的用户创建或编辑书籍内容时，可以通过book_author文章元数据字段注入恶意的JavaScript代码。由于插件在通过[book_author]短代码渲染该元数据值时未对其进行充分的转义和过滤，导致恶意脚本被持久化存储到数据库中。每当普通用户或其他管理员访问包含该短代码的页面时，存储的恶意脚本将在受害者浏览器中自动执行。
该漏洞的危害主要体现在以下几个方面：攻击者可以窃取用户的会话Cookie、劫持用户账户、进行钓鱼攻击、篡改页面内容、重定向用户到恶意网站，甚至利用管理员权限进一步植入后门或进行权限提升。由于存储型XSS的影响范围广且持久性强，一旦恶意内容被注入，所有访问相关页面的用户都会受到影响，对网站安全构成严重威胁。
该漏洞的根本原因在于Bg Book Publisher插件在处理book_author文章元数据时缺乏适当的输出转义机制。当用户通过WordPress后台创建或编辑书籍类型的文章时，book_author字段作为文章元数据（post meta）被保存到数据库中。插件提供了[book_author]短代码用于在页面前端展示该字段的值。
在渲染过程中，插件直接调用了类似echo或print的输出函数来显示book_author元数据的值，而没有使用WordPress提供的转义函数（如esc_html、esc_attr、esc_url等）。这意味着如果攻击者在book_author字段中输入包含HTML标签和JavaScript代码的内容，例如：
<img src=x onerror=alert(document.cookie)>
或者：
<script>alert('XSS')</script>
这些恶意代码将被原样输出到HTML页面中，并在用户浏览器中执行。由于该字段是文章元数据，存储在WordPress的wp_postmeta数据库表中，因此属于存储型XSS——恶意载荷在用户每次访问包含[book_author]短代码的页面时都会执行。
利用条件方面，攻击者需要拥有贡献者（Contributor）级别及以上的WordPress账户权限。WordPress的贡献者角色默认可以创建和编辑自己的文章，但无法发布。通过该角色权限，攻击者可以提交包含恶意book_author字段的文章，等待审核或自动发布后即可触发XSS攻击。CVSS向量中的S:C（Scope Changed）表明该漏洞可能影响超出插件本身的安全上下文，波及整个WordPress站点的安全。