CVE-2025-13622CVE-2025-13622是WordPress Jabbernotification插件中的一个反射型跨站脚本(XSS)漏洞。该插件是一款用于WordPress的Jabber通知插件。在0.99-RC2及以下所有版本中，由于admin.php文件对PATH_INFO参数的输入清理和输出转义不足，攻击者可以在页面中注入任意Web脚本。当用户（尤其是管理员）访问攻击者构造的恶意链接并执行点击等操作时，注入的脚本将在受害者浏览器中执行，可能导致会话劫持、敏感信息窃取或进一步的攻击。由于该漏洞无需认证即可利用，且攻击复杂度较低，因此对使用该插件的WordPress站点构成中等程度的安全威胁。
该漏洞位于jabbernotification插件的admin.php文件中，具体在处理PATH_INFO时存在反射型XSS问题。漏洞产生的根本原因是：1) 输入验证不足：插件未对用户可控的PATH_INFO参数进行严格的输入清理，允许恶意脚本内容被接受；2) 输出转义缺失：反射回页面的内容未经适当转义，浏览器将其解析为可执行脚本。攻击者可以通过构造包含恶意JavaScript代码的URL路径（如/admin.php/<script>alert(1)</script>）诱导受害者访问。由于该漏洞属于反射型XSS，恶意脚本不会持久存储在服务器上，但一旦用户点击攻击者提供的链接，脚本将在当前页面上下文中执行，可能窃取Cookie、会话令牌或其他敏感信息。