CVE-2025-14110CVE-2025-14110是WordPress插件WP Js List Pages Shortcodes中的一个高危安全漏洞。该插件用于在WordPress页面中通过shortcode方式列出JS页面内容。漏洞源于插件在处理shortcode属性时，特别是'class'属性，缺少充分的输入清理和输出转义机制。攻击者利用此漏洞可以在页面中注入任意JavaScript代码，这些恶意代码会被永久存储在数据库中。当其他用户访问包含恶意代码的页面时，攻击脚本将在受害者浏览器中执行，可能导致会话劫持、敏感信息窃取、钓鱼攻击等严重后果。由于该插件的shortcode功能在页面文章中广泛使用，攻击者只需具备Contributor级别权限即可实施攻击，门槛相对较低。漏洞影响版本从插件发布至今的所有版本（<=1.21），影响范围广泛。建议用户立即升级到最新版本或采取临时缓解措施。
该漏洞是一个典型的存储型跨站脚本（Stored XSS）漏洞。在WP Js List Pages Shortcodes插件的shortcode处理逻辑中，'class'属性值被直接拼接到HTML输出中而未经过适当的转义处理。具体来说，插件在js-list-pages-shortcodes.php文件的第58行（标签1.21版本）和第47、50、58行（trunk版本）处理shortcode属性时，直接将用户可控的class参数值输出到HTML标签的class属性中。攻击者可以通过构造包含恶意JavaScript代码的class属性值，如：onerror=alert(document.cookie)，来注入脚本。由于该输出会永久存储在WordPress数据库中，所有访问该页面的用户都会受到攻击。攻击条件要求攻击者具有WordPress Contributor角色或更高权限，能够创建或编辑文章内容。此类权限在多用户WordPress站点中较为常见，如博客、新闻网站等。成功利用后，攻击者可窃取用户会话cookie、进行钓鱼操作或修改页面内容。