CVE-2025-62149CVE-2025-62149是WordPress平台Add Custom Codes插件中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞由于插件在处理用户输入时未正确对特殊字符进行转义或过滤，导致攻击者可以在网站页面中注入恶意JavaScript代码。受影响的插件版本为4.80及以下。由于该漏洞为存储型，恶意代码会被永久保存在服务器端，所有访问包含该恶意内容的页面用户都会受到攻击。攻击者可利用此漏洞窃取用户会话cookie、劫持用户账户、进行钓鱼攻击或传播恶意软件。漏洞发现者为[email protected]，CVSS评分为5.9，属于中等严重程度。
该漏洞属于CWE-79（跨站脚本）类型，具体为存储型XSS。在Add Custom Codes插件中，当管理员通过插件添加自定义代码时，用户的输入内容未经充分过滤直接存储到数据库。当其他用户访问包含该代码的页面时，恶意脚本会被浏览器执行。攻击条件包括：1）攻击者需具有高权限（PR:H）才能添加自定义代码；2）需要用户交互（UI:R）触发；3）攻击向量为网络层面（AV:N）。由于插件功能本身允许添加任意代码，这使得漏洞利用更加容易。攻击者可在<script>标签中注入恶意JavaScript代码，或使用事件处理器如<img src=x onerror=alert(document.cookie)>等方式触发XSS。