CVE-2025-13497CVE-2025-13497是WordPress Recras插件中的一个存储型跨站脚本（Stored XSS）漏洞。该插件用于在WordPress网站中实现在线预订功能。漏洞源于插件在处理短代码属性'recrasname'时，缺少充分的输入清理和输出转义处理。攻击者利用此漏洞可以注入任意JavaScript代码，这些恶意代码会被永久存储在受影响的WordPress页面中。当其他用户访问包含恶意代码的页面时，注入的脚本会自动执行，可能导致会话劫持、敏感信息窃取、管理员权限滥用等严重安全问题。由于该漏洞需要 Contributor 级别权限才能利用，因此主要威胁来自内部恶意用户。
漏洞存在于Recras插件的OnlineBooking.php文件第144行附近的短代码处理逻辑中。当用户使用[recras recrasname='xxx']短代码时，插件直接将'recrasname'参数的值插入到页面输出中，而未对其进行适当的HTML转义或输入验证。攻击者可以通过构造恶意Payload如：recrasname='"><script>alert(document.cookie)</script>'来注入JavaScript代码。由于WordPress短代码在页面保存时就会解析执行，恶意代码会被永久存储在数据库中，形成存储型XSS。攻击者利用此漏洞可窃取用户Cookie、会话令牌，进行钓鱼攻击，或在管理员访问时执行管理操作。漏洞的根本原因是缺少htmlspecialchars()或esc_html()等输出转义函数，以及缺少sanitize_text_field()等输入清理函数。