CVE-2025-14767: WPC Badge Management插件存储型XSS漏洞

WordPress的WPC Badge Management for WooCommerce插件在3.1.6及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于`wpcbm_best_seller`短代码的'text'属性缺乏足够的输入清理和输出转义。拥有商店经理及以上权限的认证攻击者可利用此漏洞在页面注入恶意脚本，诱导用户访问后执行任意Web脚本操作。

该漏洞的具体技术原因是插件在处理`wpcbm_best_seller`短代码时，直接将用户可控的'text'属性值输出到HTML响应中，未经过滤。攻击者需要具备Shop Manager或Administrator级别的账户权限。利用过程为：攻击者在后台编辑器中输入包含JavaScript代码的短代码，系统将其存储到数据库。当前台用户访问包含该短代码的页面时，插件会解析短代码并将未经转义的恶意脚本直接渲染在浏览器中，从而导致存储型XSS攻击，进而窃取Cookie、会话令牌或执行其他恶意操作。由于CVSS向量中Scope为Changed，该攻击可能波及到普通浏览用户。