CVE-2025-63005CVE-2025-63005是WordPress Tooltips插件中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞由于插件在处理用户输入时未对特殊字符进行充分过滤和转义，导致攻击者可以在网站的工具提示（tooltips）功能中注入恶意JavaScript代码。当其他用户访问包含恶意工具提示的页面时，这些脚本将在其浏览器上下文中执行，从而窃取会话Cookie、劫持用户账户或进行其他恶意操作。此漏洞影响WordPress Tooltips插件从最初版本到10.9.3的所有版本。攻击者需要具有低权限（如订阅者或贡献者角色）才能利用此漏洞，但攻击成功后可以在管理员访问受影响页面时执行任意JavaScript代码，可能导致严重的账户接管风险。由于存储型XSS的特性，恶意脚本会持久存在于数据库中，对所有访问相关页面的用户构成威胁。
该存储型XSS漏洞存在于WordPress Tooltips插件的tooltips数据处理流程中。攻击者通过在创建或编辑工具提示内容时注入恶意JavaScript代码（如<script>alert(document.cookie)</script>或<img src=x onerror=...>等payload），由于插件未对输入内容进行适当的HTML转义或内容安全策略（CSP）限制，这些恶意代码会被直接存储到WordPress数据库中。当其他用户访问包含该工具提示的页面时，服务器从数据库读取并直接在页面HTML中输出这些未转义的内容，导致浏览器将其作为可执行脚本解析。攻击者可以利用此漏洞窃取受害者的认证令牌、修改页面内容、进行钓鱼攻击或进一步利用管理员权限进行WordPress核心文件修改等高危操作。漏洞的利用需要攻击者具有至少订阅者级别的账户权限。