CVE-2025-13895CVE-2025-13895是WordPress平台Top Position Google Finance插件中的一个中危安全漏洞。该插件所有版本直至0.1.0版本均存在反射型跨站脚本（Reflected XSS）漏洞。漏洞根源在于插件直接使用`$_SERVER['PHP_SELF']`变量而未进行充分的输入验证和输出转义处理。攻击者可以构造恶意URL链接，在URL参数中嵌入JavaScript等脚本代码。当受害者点击攻击者精心构造的链接访问存在漏洞的页面时，恶意脚本将在受害者浏览器上下文中执行，从而窃取用户会话cookie、劫持用户账号或进行其他恶意操作。由于该漏洞无需认证即可利用，但需要诱导用户点击恶意链接，因此CVSS评分达到6.1分，属于中危级别。建议插件用户立即采取修复措施或使用临时缓解方案。
该漏洞属于典型的反射型跨站脚本（Reflected XSS）漏洞。在PHP Web应用中，`$_SERVER['PHP_SELF']`变量包含当前执行脚本的路径信息，攻击者可以通过在URL路径中注入恶意脚本来利用此变量。Top Position Google Finance插件在处理用户请求时，直接将该变量输出到HTML页面而未进行适当的安全过滤。具体问题代码位于插件文件第56行和第78行附近，插件未使用WordPress提供的安全函数（如esc_url()、esc_html()、sanitize_text_field()等）对用户输入进行清理和转义。攻击者构造形如`/wp-admin/admin.php/<script>alert(document.cookie)</script>`的URL，受害者访问后，`<script>`标签将被浏览器解析执行。由于WordPress管理后台许多页面使用admin.php作为入口，攻击者可以利用此漏洞窃取管理员会话令牌，进而接管整个WordPress站点。漏洞利用复杂度低，无需认证，但需要用户交互（点击恶意链接），攻击向量为网络范围。