CVE-2025-49927CVE-2025-49927是Crocoblock公司开发的WordPress插件JetWooBuilder中存在的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞由Patchstack安全团队的[email protected]发现并报告，CVSS 3.1评分为6.5分，属于中危级别漏洞。
JetWooBuilder是一款广泛使用的WordPress WooCommerce页面构建器插件，允许用户通过Elementor页面编辑器自定义WooCommerce相关的页面模板，包括产品页面、商店页面、购物车页面等。该插件在WordPress生态系统中拥有大量用户，因此该漏洞的影响范围较为广泛。
该漏洞源于插件在处理用户输入时未能正确地进行输入过滤和输出转义，导致攻击者可以将恶意脚本代码存储在服务器端。当其他用户访问包含恶意代码的页面时，存储的恶意脚本将在受害者浏览器中执行，从而实现会话劫持、敏感信息窃取、权限提升等多种攻击目的。
根据CVSS向量分析，该漏洞通过网络进行攻击，需要低权限认证即可利用，且需要用户交互（如访问特定页面）。漏洞的影响范围已发生变化（Scope Changed），对机密性、完整性和可用性均存在低程度的影响。由于是存储型XSS，漏洞一旦被触发，影响会持续存在，对网站安全构成长期威胁。
该漏洞属于典型的存储型XSS漏洞，其根本原因是JetWooBuilder插件在Web页面生成过程中未能正确地对用户输入进行中和处理（Improper Neutralization of Input During Web Page Generation）。
技术原理：JetWooBuilder插件允许低权限用户（如订阅者、作者或编辑角色的用户）通过Elementor编辑器创建或修改WooCommerce相关的页面模板。在模板编辑过程中，插件接收用户输入的各种参数和内容字段，但未对这些输入进行充分的HTML实体编码或过滤。当这些未经过滤的输入被存储到数据库后，在后续页面渲染时直接输出到前端HTML页面中，导致恶意JavaScript代码能够被注入并执行。
利用方式：
1. 攻击者首先获取目标网站的低权限账户（如通过社会工程学或购买等方式）；
2. 登录后，利用插件提供的模板编辑功能，在可输入字段中注入恶意JavaScript代码（如<script>alert(document.cookie)</script>或更复杂的payload）；
3. 恶意代码被存储到WordPress数据库中；
4. 当其他用户（包括管理员）访问包含该模板的页面时，恶意脚本将在其浏览器上下文中执行；
5. 攻击者可以利用此漏洞窃取用户会话cookie、进行权限提升、植入后门或进行钓鱼攻击等。
由于CVSS向量中标注了S:C（Scope Changed），说明该漏洞的影响超出了插件本身的权限范围，可能影响到WordPress站点的整体安全性。