CVE-2025-49909PenciDesign Penci Bookmark & Follow插件存在反射型跨站脚本(XSS)漏洞，攻击者可通过构造恶意脚本在用户浏览器中执行。该插件用于WordPress站点，允许用户收藏和关注内容。漏洞源于对用户输入未进行充分的过滤和转义，攻击者可利用此漏洞窃取用户会话cookie、劫持用户账户或进行钓鱼攻击。CVSS评分7.1，属于高危漏洞，攻击复杂度低，无需认证即可利用，但需要用户交互。
漏洞位于插件的输入处理环节，当用户访问包含恶意脚本的URL时，服务器未对参数进行适当的安全处理，直接将用户可控的输入反射回页面。攻击者构造带有JavaScript代码的链接，诱导用户点击后，脚本将在受害者浏览器上下文执行，可获取敏感信息或执行恶意操作。