CVE-2025-62971CVE-2025-62971是WordPress插件Attesa Extra中的一个存储型跨站脚本(XSS)漏洞。该漏洞由于插件在Web页面生成过程中未能正确对用户输入进行中和处理，导致恶意JavaScript代码可以被存储在服务器端并在后续页面访问时执行。攻击者可以利用此漏洞在受害者的浏览器中执行任意JavaScript代码，窃取会话Cookie、劫持用户账户、进行钓鱼攻击或修改页面内容。由于该漏洞为存储型，恶意脚本会永久保存在数据库中，所有访问受影响页面的用户都会受到攻击影响。此漏洞的CVSS评分为6.5，属于中等严重程度，需要低权限用户配合受害者交互才能完成攻击。
该漏洞属于存储型XSS(Stored XSS)，攻击流程如下：攻击者首先在WordPress网站中使用低权限账户登录Attesa Extra插件的某个功能模块（如自定义字段、表单输入等），提交包含恶意JavaScript代码的输入。由于插件未对用户输入进行充分的输入验证和输出编码，这些恶意脚本会被存储在WordPress数据库中。当其他用户访问包含该恶意内容的页面时，服务器从数据库检索并输出这些未经过滤的数据，浏览器将其作为合法HTML/JS执行，从而触发XSS攻击。攻击者可窃取受害者的认证令牌、会话Cookie，修改页面显示内容，或将用户重定向至恶意网站。由于CVSS向量中S:C(改变范围)标记，该漏洞可能影响同服务器上的其他组件。攻击复杂度低(AC:L)，但需要用户交互(UI:R)触发。