CVE-2025-13729CVE-2025-13729是WordPress Entry Views插件中的一个存储型跨站脚本（Stored XSS）漏洞。该插件是一款用于统计文章浏览量的WordPress插件，在1.0.0及之前的所有版本中存在严重的安全问题。漏洞的根本原因在于插件的'entry-views'短代码功能对用户提供的属性参数缺乏充分的输入清理和输出转义处理。攻击者通过利用此漏洞，可以在具有贡献者（contributor）级别权限的情况下，向WordPress页面或文章中注入任意JavaScript脚本代码。由于漏洞属于存储型XSS，恶意代码会被永久保存在服务器端，所有访问被感染页面的用户都会自动执行攻击者植入的恶意脚本，从而可能导致会话劫持、敏感信息窃取、恶意重定向等严重安全后果。
漏洞存在于Entry Views插件的shortcodes.php文件中，具体位置在第25行和第36行的短代码处理逻辑中。插件在处理'entry-views'短代码时，直接将用户提供的属性参数输出到HTML页面而未进行适当的转义处理。攻击者可以通过构造包含恶意JavaScript代码的属性值（如onerror、onload等事件处理器），实现存储型XSS攻击。由于WordPress的短代码机制允许具有贡献者权限的用户在文章内容中插入短代码，攻击门槛相对较低。一旦恶意代码被注入，所有访问该页面的用户都会在浏览器中执行这些脚本，攻击者可借此窃取用户的认证Cookie、劫持用户会话或进行钓鱼攻击。