CVE-2025-12651WordPress的Live Photos插件在0.1及以下所有版本中存在存储型跨站脚本（Stored XSS）漏洞。该漏洞源于livephotos_photo短代码对用户提供的属性参数（video_src、img_src、class）缺乏充分的输入清理和输出转义。攻击者通过利用此漏洞，可以在页面中注入任意Web脚本。由于漏洞性质为存储型，恶意脚本会被永久保存在服务器端，当其他用户访问包含恶意内容的页面时，注入的脚本将自动执行，可能导致会话劫持、敏感信息窃取、网页篡改等严重后果。
该漏洞存在于WordPress Live Photos插件的短代码处理模块中，具体位置为core/class-livephotos-shortcodes.php第42行附近的代码。问题根源在于插件在处理livephotos_photo短代码时，直接将用户可控的参数值输出到HTML页面，而未进行适当的输入验证和输出编码。攻击者（拥有贡献者级别或更高权限的认证用户）可以通过在video_src、img_src或class参数中注入恶意脚本内容。例如，在img_src参数中插入带有onerror事件处理器的img标签，或在class参数中注入带有点击事件处理器的代码。由于这些参数值被直接存储并在前端页面中呈现，任何访问该页面的用户都会触发恶意脚本执行。