CVE-2025-13137CVE-2025-13137是WordPress插件Live Sales Notification for Woocommerce (Woomotiv)中的一个反射型跨站脚本(XSS)漏洞。该插件用于在电商网站展示实时销售通知，提升用户购买信心。漏洞源于版本3.6.3及之前版本中，对用户输入的'woomotiv_limit'参数缺乏充分的输入清理和输出转义处理。攻击者可通过构造恶意链接，诱骗已登录的管理员或用户点击，从而在受害者浏览器中执行任意JavaScript脚本。由于该插件通常在后端管理页面使用，攻击成功可能导致会话劫持、窃取管理员凭据、植入后门或进一步横向移动。漏洞无需认证即可利用，但需要用户交互(点击恶意链接)。CVSS评分6.1，属于中危漏洞，建议立即升级至最新版本并加强输入验证。
漏洞存在于Woomotiv插件的 'woomotiv_limit' HTTP GET参数处理逻辑中。攻击者可通过URL参数注入恶意JavaScript代码，如：?woomotiv_limit=<script>alert(document.cookie)</script>。由于插件未对该参数进行HTML实体转义，恶意脚本会被直接回显到页面响应中，并在受害者浏览器执行。反射型XSS的特点是恶意脚本通过URL参数传递，不持久化存储在服务器端。攻击者常通过钓鱼邮件或社交工程手段诱导目标点击构造好的链接。成功利用后可窃取Cookie、会话令牌，执行任意操作。由于Woomotiv在WordPress管理后台运行，攻击者可能获取管理员权限，进而完全控制网站。防御措施包括：对所有用户输入进行严格的输入验证和输出编码，使用现代Web应用防火墙(WAF)规则，以及应用Content Security Policy (CSP)头部。