CVE-2025-63042CVE-2025-63042是WordPress插件Tutor LMS Elementor Addons中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞存在于Web页面生成过程中对用户输入的不当处理，导致攻击者可以在受害者的浏览器中执行恶意JavaScript代码。由于该漏洞为存储型，恶意脚本会被永久保存在服务器端，所有访问包含恶意内容页面的用户都会受到攻击。此漏洞影响插件的3.0.1及以下版本，攻击者需要具有低权限用户账户（如订阅者或学生账户）即可利用此漏洞。攻击成功可能导致会话劫持、敏感信息窃取、恶意重定向等严重后果。
该存储型XSS漏洞源于Tutor LMS Elementor Addons插件在处理用户提交数据时，未对特殊字符进行充分的HTML转义处理。攻击者可以通过在插件的表单输入字段中注入恶意JavaScript代码（如<script>标签或事件处理器属性），这些恶意代码会被存储在数据库中。当其他用户访问包含该恶意内容的页面时，服务器会将其作为正常HTML内容返回，浏览器则会执行其中的恶意脚本。由于该插件常用于在线教育平台，可能涉及用户注册和课程评论等功能，攻击面较大。攻击者利用此漏洞可窃取用户会话Cookie、伪造用户操作或传播恶意内容。