CVE-2025-64189CVE-2025-64189是WordPress插件XStore Core（et-core-plugin）中的一个高危安全漏洞，CVSS评分7.1，属于反射型跨站脚本（Reflected XSS）漏洞。该漏洞存在于8theme公司开发的XStore Core插件中，影响版本从初始版本到5.6之前的所有版本。反射型XSS是一种常见的Web安全漏洞，攻击者通过构造恶意链接，诱使受害者在浏览器中点击，当服务器将用户输入未经适当过滤或转义就直接返回到页面时，恶意脚本便会在受害者的浏览器上下文中执行。这允许攻击者窃取用户的会话Cookie、劫持用户账户、进行钓鱼攻击或在用户浏览器中执行任意JavaScript代码。由于XStore是一款广受欢迎的WordPress电子商务主题，被大量在线商店使用，因此该漏洞可能影响大量网站和终端用户。攻击者可以利用社交工程手段，通过电子邮件、即时消息或恶意网站诱导用户点击特制的链接，从而在用户访问目标网站时执行恶意脚本。
该反射型XSS漏洞源于XStore Core插件在处理用户输入时未能正确实施输入验证和输出编码。攻击者可以通过在URL参数中注入恶意JavaScript代码，当受害者访问包含恶意参数的链接时，服务器会将未经处理的输入反射回响应页面，浏览器随后将其解析为可执行脚本。具体而言，攻击者可能在插件的某个功能模块（如搜索参数、过滤器、分类参数等）中植入<script>标签或事件处理器（如onerror、onload等），这些恶意代码会随页面一同返回并在受害者浏览器中执行。攻击成功的关键在于目标插件未对用户可控的输入进行HTML实体编码或内容安全策略（CSP）限制。攻击者可利用此漏洞窃取认证令牌、操纵页面内容、进行中间人攻击或诱导用户泄露敏感信息。PoC通常构造包含恶意脚本的URL链接，诱导用户访问从而触发XSS执行。