CVE-2025-62111CVE-2025-62111是WordPress Extra Shortcodes插件中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞由于插件在处理用户输入时未正确对特殊字符进行转义或过滤，导致恶意JavaScript代码被存储在数据库中。当其他用户访问包含恶意代码的页面时，浏览器会执行这些脚本，从而实现会话劫持、Cookie窃取、钓鱼攻击等恶意操作。由于该插件的Shortcodes功能在WordPress文章和页面中被广泛使用，攻击者可以通过在评论或表单中注入恶意代码，影响所有访问该内容的用户。此漏洞需要低权限用户身份即可实施，且攻击过程对用户不可见，具有较高的隐蔽性和危害性。
该漏洞存在于Extra Shortcodes插件的extra-shortcodes功能模块中，具体表现为在处理用户提交的内容时，未对输入的特殊HTML字符（如<、>、'、"等）进行充分的转义处理。攻击者可以利用该漏洞在Shortcode参数或内容中嵌入恶意JavaScript代码，这些代码会被永久存储在WordPress数据库中。当页面渲染时，Web服务器将包含恶意代码的HTML响应发送给受害者浏览器，浏览器将其解析为可执行脚本。以WordPress Shortcode机制为例，攻击者可能通过在文章内容中插入类似[extra_shortcode attr="<script>alert(document.cookie)</script>"]的短代码，触发XSS执行。由于存储型XSS的持久性，攻击只需进行一次，受害者每次访问受感染页面都会触发恶意脚本。攻击者常利用此漏洞窃取管理员会话Cookie，进而获得后台管理权限。