CVE-2025-12393WordPress的Free Quotation插件存在存储型跨站脚本（Stored XSS）漏洞，该漏洞影响所有版本直至3.1.6。由于插件在管理后台设置页面中对用户输入的清理不足，同时对输出的转义处理不完善，导致具有管理员权限及以上的认证攻击者能够在页面中注入任意Web脚本。这些恶意脚本会在用户访问被注入的页面时自动执行，可能导致会话劫持、凭据窃取、恶意重定向等安全问题。此漏洞主要影响多站点（Multi-site）WordPress安装环境，以及禁用unfiltered_html功能的单站点安装。攻击者利用此漏洞可以提升权限或在管理员不知情的情况下执行恶意操作，对网站安全性造成严重威胁。
该漏洞的根本原因在于Free Quotation插件3.1.6及以下版本的管理设置功能中存在输入验证和输出编码缺陷。具体而言，插件在接受用户输入时未进行充分的HTML标签过滤和JavaScript脚本过滤，同时在将数据输出到前端页面时缺少适当的转义处理。攻击者（需具备管理员权限）可通过访问WordPress后台的插件设置页面，在相关配置字段中注入包含恶意JavaScript代码的payload，如：<script>alert(document.cookie)</script>。由于该数据会被永久存储在数据库中（存储型XSS特性），每次相关页面被访问时恶意脚本都会执行。漏洞的利用条件为：攻击者必须拥有目标WordPress站点的管理员账号，且目标站点必须是多站点安装或已禁用unfiltered_html功能（该功能默认在多站点中禁用）。攻击成功后，攻击者可以窃取管理员会话cookie、进行CSRF攻击或重定向用户到恶意站点。