CVE-2025-14378CVE-2025-14378是WordPress Quick Testimonials插件中的一个高危存储型跨站脚本（Stored XSS）漏洞。该插件专为WordPress网站设计，用于管理和展示用户评价。漏洞存在于所有版本直到2.1，由于插件在处理用户输入时缺乏充分的输入清理（input sanitization）和输出转义（output escaping）机制，导致恶意JavaScript代码可以被永久存储在数据库中。攻击者利用此漏洞需要具备管理员级别或更高权限，成功注入后，恶意脚本会在用户访问包含注入内容的页面时自动执行，可能导致会话劫持、敏感信息窃取、钓鱼攻击等严重后果。该漏洞的影响范围受到一定限制，仅影响多站点（multi-site）WordPress安装或已禁用unfiltered_html功能的站点。
漏洞根源在于Quick Testimonials插件的管理设置页面未对用户输入进行充分的输入验证和清理。当管理员在插件设置中提交包含恶意脚本的内容时，这些内容被直接存储到数据库而未经过滤。在后续页面渲染过程中，这些未转义的内容被直接输出到HTML中，浏览器将其解析为可执行脚本。具体来说，插件在处理testimonial内容的各个环节缺少适当的HTML实体编码（如将<转换为<，>转换为>等），使得攻击者可以嵌入<script>标签或事件处理器（如onerror、onload等）属性。攻击者需要通过WordPress管理员后台访问插件设置页面，提交精心构造的恶意payload。由于WordPress默认情况下会过滤管理员的HTML输入，但在多站点环境或unfiltered_html被禁用的情况下，这些过滤机制可能被绕过，导致存储型XSS漏洞被触发。