CVE-2025-12123Customer Reviews Collector for WooCommerce是WordPress平台上广受欢迎的评论收集插件，用于收集和管理WooCommerce商店的客户评论。该插件在4.6.1及以下所有版本中存在一处严重的反射型跨站脚本（Reflected XSS）漏洞。漏洞源于插件对用户输入的'email-text'参数缺乏充分的输入清理和输出转义处理。攻击者可以通过构造包含恶意JavaScript代码的URL参数，诱使受害者在访问特制链接时执行任意前端脚本。这可能导致用户会话劫持、敏感信息窃取、恶意内容注入等安全问题。由于该漏洞无需认证即可利用，且攻击复杂度低，具有一定的现实威胁。建议所有使用该插件的用户尽快升级到最新版本或采取临时缓解措施。
该漏洞属于典型的反射型跨站脚本（Reflected XSS）漏洞。攻击者通过在URL的'email-text'参数中注入恶意JavaScript代码，由于插件在处理该参数时仅获取用户输入而未进行适当的HTML实体转义或输入验证，导致恶意代码被直接回显到页面响应中。当受害者点击攻击者构造的恶意链接访问存在漏洞的页面时，浏览器会将URL参数中的恶意脚本作为页面内容的一部分解析执行。由于WordPress插件通常在后端管理页面或前端交互区域使用GET参数传递用户输入，攻击者可利用这一特性在目标网站上执行任意JavaScript代码。成功利用此漏洞需要用户交互（如点击链接），但攻击者可通过钓鱼邮件、社交工程等方式诱导用户访问恶意链接。攻击成功后可窃取用户Cookie、劫持会话、修改页面内容或进行进一步的攻击。