CVE-2025-14732该漏洞存在于WordPress的Elementor Website Builder插件中。由于插件在处理多个小部件参数时缺乏足够的输入清理和输出转义，导致在所有3.35.5及以下版本中存在存储型跨站脚本（XSS）漏洞。拥有Contributor（投稿者）及以上权限的认证攻击者可以利用此漏洞在页面中注入任意Web脚本。当用户访问被注入的页面时，这些脚本将会执行，从而可能导致账户劫持或其他恶意行为。
该漏洞源于Elementor插件对特定小部件参数的输入验证和输出转义机制存在缺陷。在受影响的版本（3.35.5及以下）中，插件未能有效过滤用户提交的恶意数据。攻击者仅需具备Contributor（投稿者）级别的低权限账号，即可在编辑页面时，通过Widget的参数字段注入恶意的JavaScript代码。由于缺乏输出编码，这些恶意脚本会被直接存储到数据库中。当具有更高权限的用户（如管理员）或普通访客访问包含该恶意代码的页面时，脚本将在其浏览器环境中自动执行。这不仅破坏了网页的完整性，还允许攻击者窃取敏感信息（如Cookie、会话令牌），甚至利用管理员权限进一步控制整个WordPress站点。