CVE-2025-14835CVE-2025-14835是WordPress插件WP Photo Album Plus中的一个高危安全漏洞。该漏洞是一种反射型跨站脚本攻击（Reflected Cross-Site Scripting），存在于该插件的所有版本中，直到并包括9.1.05.008版本。漏洞的根本原因是插件在处理用户输入的'shortcode'参数时，缺少充分的输入清理（input sanitization）和输出转义（output escaping）。这使得未经身份验证的攻击者能够通过构造恶意链接，将任意Web脚本注入到页面中执行。攻击成功的关键在于诱导目标用户点击攻击者精心设计的链接，一旦用户点击，恶意脚本将在用户的浏览器上下文中执行，可能导致会话劫持、敏感信息窃取或其他恶意操作。由于该插件在WordPress生态中广泛应用，此漏洞可能影响大量使用该插件的网站。
该漏洞存在于WP Photo Album Plus插件处理短代码（shortcode）参数的过程中。攻击者可以通过URL参数传递恶意的JavaScript代码，插件在处理这些参数时未对其进行适当的输入验证和输出编码。具体来说，问题出现在插件的wppa-ajax.php文件（约第1130行和第43行）、wppa-filter.php文件（约第125行）以及wppa-functions.php文件（约第5617行）中，这些文件在处理用户输入时未能正确转义特殊字符。攻击者利用CVSS 3.1向量的网络可访问性（AV:N），配合低复杂度的攻击方式（AC:L），无需任何认证权限（PR:N），通过诱导用户点击恶意链接（UI:R）即可实现攻击。攻击成功后，可能导致机密性（C:L）、完整性（I:L）和可用性（A:L）方面的低等级影响。