CVE-2025-52753CVE-2025-52753是WordPress插件Contact Form by Supsystic中存在的一个高危反射型跨站脚本（Reflected XSS）漏洞。该漏洞的CVSS评分为7.1，属于高危级别。漏洞源于插件在Web页面生成过程中未能正确对用户输入进行安全处理和转义，导致攻击者可以在受影响的页面中注入恶意JavaScript代码。攻击者通过构造包含恶意脚本的特殊URL链接，并诱导受害者点击该链接。当受害者访问该链接时，恶意脚本将在其浏览器上下文中执行，从而实现窃取用户会话Cookie、劫持用户会话、进行钓鱼攻击或执行其他恶意操作。由于该漏洞属于反射型XSS，不需要存储在服务器端，因此攻击更加隐蔽且难以检测。建议受影响的用户立即升级到插件的最新版本，并实施严格的输入验证和输出编码机制以防止此类攻击。
该反射型XSS漏洞存在于Contact Form by Supsystic插件的URL参数处理逻辑中。插件在接收到用户请求时，会将URL中的某些参数值直接回显到返回的HTML页面中，而未进行充分的输入验证和输出编码。攻击者可以通过在URL参数中嵌入恶意JavaScript代码（如<script>标签或事件处理器属性），当受害者访问包含恶意参数的URL时，这些未经处理的脚本代码将被浏览器解析执行。具体利用方式是在插件的表单提交或页面加载相关的URL参数中注入XSS payload，如在id、page或其他可控制参数中插入javascript:alert(document.cookie)等恶意代码。由于WordPress插件通常在管理员后台和网站前台都有接口，因此攻击者既可以针对普通访客，也可以针对管理员用户发起攻击。一旦管理员账户被劫持，攻击者可以进一步获取网站的完全控制权。漏洞的技术根源在于缺少对用户输入的sanitization和对输出内容的HTML实体编码。