CVE-2025-12711CVE-2025-12711是WordPress平台上一款名为"Share to Google Classroom"插件存在的安全漏洞。该漏洞为存储型跨站脚本攻击（Stored XSS），存在于插件的share_to_google短代码功能中。漏洞的根本原因在于插件对用户提供的属性参数缺乏足够的输入清理（input sanitization）和输出转义（output escaping）处理。攻击者利用此漏洞可以注入任意Web脚本代码，这些恶意代码会被永久存储在网站的数据库中。当其他用户访问包含恶意代码的页面时，注入的脚本将自动执行，可能导致会话劫持、敏感信息窃取、恶意重定向等安全问题。由于该漏洞影响所有1.0及以下版本，且攻击门槛较低（仅需Contributor级别权限），对使用该插件的WordPress网站构成中等程度的安全威胁。
该漏洞存在于Share to Google Classroom插件的share_to_google短代码处理逻辑中。插件在处理短代码属性时，未对用户输入进行适当的HTML实体转义或输入验证。攻击者可以通过构造包含恶意JavaScript代码的属性值（如onerror、onload等事件处理器）注入XSS payload。当这些未经过滤的数据被存储并在页面中输出时，浏览器会将其解析为可执行脚本。具体利用方式为：具有Contributor权限的认证用户可以在文章或页面中插入形如[share_to_google attr="javascript:alert(document.domain)"]的短代码，恶意脚本将被永久存储在数据库中。任何访问该页面的用户都会触发脚本执行。由于短代码属性直接参与HTML输出生成，且缺少任何过滤机制，攻击者可利用此漏洞窃取用户Cookie、劫持会话或进行钓鱼攻击。