CVE-2025-13196Element Pack Addons是WordPress平台上一款广受欢迎的Elementor页面构建器插件，提供了超过180个精心设计的元素和小工具。2025年披露的CVE-2025-13196漏洞影响了该插件的Open Street Map（开源地图）组件。该漏洞属于存储型跨站脚本攻击（Stored XSS），允许具有贡献者级别权限的认证攻击者在地图标记内容参数中注入恶意JavaScript代码。由于插件在render函数中未对用户输入进行充分的清理和转义，恶意脚本会被永久存储在数据库中。当其他用户访问包含受感染地图组件的页面时，注入的脚本会自动执行，可能导致会话劫持、敏感信息窃取、恶意重定向等严重安全后果。此漏洞的CVSS评分为5.4，属于中等严重程度，但考虑到其存储型特性和低权限要求，仍需及时修复。
漏洞根源在于Element Pack Addons插件的Open Street Map widget实现中，render()函数对用户提供的marker content参数缺乏有效的输入验证和输出转义。具体来说，插件在处理地图标记的显示内容时，直接将用户输入嵌入到HTML输出中而未进行适当的清理。具体问题包括：1) 输入清理不足：未对marker content参数进行严格的输入验证和过滤；2) 输出转义缺失：在将数据输出到HTML页面时，未使用htmlspecialchars()或类似函数进行转义处理。攻击者只需拥有WordPress站点的贡献者（Contributor）角色或更高权限，即可在Open Street Map组件的marker content字段中注入包含<script>标签或事件处理器（如onerror、onload）的恶意代码。由于插件将数据存储在数据库中，受感染的脚本会在所有访问该页面的用户浏览器中执行，形成持久性攻击。攻击者可能利用此漏洞窃取管理员Cookie、提升权限或植入后门程序。