CVE-2025-13910WordPress WP-WebAuthn插件在1.3.4及之前版本中存在未经身份验证的存储型跨站脚本（XSS）漏洞。该漏洞源于`wwa_auth` AJAX端点对用户提供的属性记录缺乏足够的输入清理和输出转义。当插件的日志记录功能开启时，未经身份验证的攻击者可以通过该端点注入恶意Web脚本。一旦管理员或其他用户访问插件的日志页面，这些脚本将会自动执行，从而导致潜在的安全风险。
该漏洞的核心问题出在WP-WebAuthn插件的`wwa_auth` AJAX处理逻辑中。插件设计用于记录用户认证相关的属性信息，但在记录这些由用户可控的输入数据时，未能实施严格的安全过滤机制。具体而言，攻击者无需登录WordPress后台，即可向`wwa_auth`端点发送特制的恶意请求，载荷中包含JavaScript代码。由于系统未对输入进行有效的消毒处理，也未在输出到日志页面时进行HTML实体转义，这些恶意代码被原样存储在插件的日志记录中。随后，当具有管理权限的用户访问插件的后台日志查看页面时，存储的恶意脚本会在其浏览器上下文中解析并执行。这可能导致攻击者窃取管理员Cookie、劫持会话，或以管理员权限执行其他恶意操作。尽管攻击需要用户交互（即管理员查看日志），但考虑到日志检查是常规操作，该风险不容忽视。