CVE-2025-1794WordPress AM LottiePlayer插件在3.6.0及以下版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于对上传的SVG文件缺乏足够的输入清理和输出转义。攻击者利用该漏洞可在页面中注入恶意脚本，当用户访问被注入的页面时，脚本将被执行，从而导致数据泄露或会话劫持等风险。
该漏洞的核心在于AM LottiePlayer插件在处理用户上传的SVG（可缩放矢量图形）文件时，未对文件内容进行严格的输入清洗和输出转义。SVG文件本质上是一种基于XML的文本格式，允许嵌入JavaScript代码。攻击者只需拥有WordPress的作者级别（Author-level）及以上权限，即可登录后台，利用插件的上传功能，构造包含恶意JavaScript代码的特制SVG文件并上传。由于插件缺乏有效的安全过滤机制，该恶意文件会被保存在服务器上。当管理员或其他用户访问包含该SVG文件的页面时，浏览器会解析SVG中的恶意脚本并自动执行。这是一种典型的存储型XSS攻击，攻击者无需针对每个受害者进行单独诱导，利用持久化的恶意脚本窃取敏感信息（如Session Cookie）、执行未授权操作或重定向用户至钓鱼网站。