CVE-2025-13835CVE-2025-13835是WordPress插件Arconix Shortcodes中的一个存储型跨站脚本(XSS)漏洞。该漏洞由Patchstack团队发现，由于插件在处理用户输入时未能正确对特殊字符进行转义和过滤，导致恶意JavaScript代码可以被存储在数据库中。当其他用户访问包含恶意代码的页面时，攻击者注入的脚本将在受害者浏览器中执行，可能导致会话劫持、敏感信息窃取、钓鱼攻击等严重后果。由于该漏洞为存储型XSS，攻击代码只需一次注入即可影响所有访问受影响页面的用户，危害范围广泛。该漏洞影响版本从插件早期版本至2.1.20版本，CVSS评分6.5，属于中等严重程度。攻击者需要具备WordPress站点低权限账户即可实施攻击，但需要诱导管理员或用户访问包含恶意代码的页面。
该存储型XSS漏洞存在于Arconix Shortcodes插件的短代码处理逻辑中。插件提供了多种短代码功能（如折叠框、标签页、警告框等），用于在WordPress文章和页面中创建丰富的视觉元素。漏洞产生的根本原因在于插件在渲染这些短代码内容时，直接将用户可控的输入插入到HTML输出中，而未进行充分的输入验证和输出编码。攻击者可以通过在短代码属性中注入恶意JavaScript代码（如<script>标签或事件处理器onerror、onload等），当页面加载时这些代码将在受害者浏览器中执行。典型的攻击payload可能包含在shortcode的title、content或class等属性中，利用HTML事件处理器执行JavaScript。由于WordPress文章编辑器的可视化模式可能不会直接显示这些恶意代码，攻击者可以较容易地绕过内容过滤。由于该代码存储在数据库中，每次页面加载时都会触发，形成持久性攻击向量。