CVE-2025-13365WP Hallo Welt是WordPress平台的一个插件，存在严重的跨站请求伪造（CSRF）和存储型跨站脚本（XSS）漏洞。该漏洞影响1.4及以下所有版本。由于插件在'hallo_welt_seite'函数中缺少或错误地实现了nonce验证，导致未经身份认证的攻击者可以通过诱导网站管理员点击恶意链接来执行伪造请求，从而修改插件设置并注入恶意Web脚本。此外，由于输入清理和输出转义不足，注入的恶意脚本会被永久存储在系统中，当其他用户访问相关页面时会被执行，可能导致会话劫持、凭据窃取或其他恶意操作。
该漏洞的根本原因在于两个方面：首先，插件的hallo_welt_seite函数缺少正确的WordPress nonce验证机制。WordPress使用nonce来防止CSRF攻击，但该插件未能正确实现这一安全检查，使得攻击者可以构造恶意请求来修改插件配置。其次，插件在处理用户输入时没有进行充分的输入清理（sanitization）和输出转义（output escaping），导致攻击者可以通过构造特制的payload注入HTML/JavaScript代码。由于这些恶意脚本会被存储在数据库中（存储型XSS），每次页面加载时都会执行，具有持久性危害。攻击者可以利用此漏洞窃取管理员会话cookie、提升权限或在网站上进行钓鱼攻击。