CVE-2025-62058CVE-2025-62058是WordPress平台Houzez主题功能插件中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞存在于Houzez Theme Functionality插件4.2.0之前的所有版本中，攻击者可以利用该漏洞在受害者的浏览器中执行任意JavaScript代码。漏洞根源在于插件在处理用户输入时未能正确对特殊字符进行HTML实体编码，导致恶意脚本可以被存储在数据库中并在后续页面访问时执行。由于该漏洞需要低权限用户交互才能触发，攻击者通常需要通过社会工程学手段诱导管理员点击恶意链接或访问包含payload的页面。一旦攻击成功，攻击者可以窃取管理员会话cookie、劫持管理员账户、修改网站内容或植入后门程序，对网站安全造成严重威胁。
该漏洞是典型的存储型XSS（Stored XSS）漏洞，存在于Houzez Theme Functionality插件的houzez-theme-functionality组件中。漏洞产生的根本原因是在Web页面生成过程中，应用程序未能对用户可控的输入进行充分的输入验证和输出编码。当用户提交的数据被存储到数据库后，在后续页面渲染时未经适当转义就直接输出到HTML页面中。攻击者可以通过在插件的特定功能模块（如搜索功能、表单提交等）中注入恶意JavaScript代码（如<script>alert(document.cookie)</script>），该payload会随数据一同存入数据库。当其他用户访问包含该数据的页面时，恶意脚本会在其浏览器上下文中执行。由于插件通常在后端管理界面中使用，攻击者主要目标是窃取管理员凭据或会话令牌，从而获得对WordPress站点的完全控制权。CVSS 3.1评分6.5反映了该漏洞通过网络可利用、需要低权限但需要用户交互的特点。