CVE-2025-64197CVE-2025-64197是WordPress Rehub主题中的一个存储型跨站脚本(XSS)漏洞。该漏洞存在于Web页面生成过程中，由于对用户输入的过滤和转义处理不当，攻击者可以在受影响系统中注入恶意JavaScript代码。由于是存储型XSS，恶意代码会被永久保存在服务器端，所有访问相关页面的用户都会受到攻击。Rehub是一款流行的WordPress主题，广泛用于创建优惠券、联盟营销和比较网站。该主题在处理用户提交的内容时未进行充分的输入验证和输出编码，导致存在此安全漏洞。攻击者可以利用此漏洞窃取用户会话信息、劫持用户账户、进行钓鱼攻击或传播恶意软件。
该漏洞源于Rehub主题在处理用户输入时未遵循安全编码实践。在Web应用的安全设计中，所有用户可控的输入都应该被当作潜在恶意数据进行处理。存储型XSS漏洞的特点是恶意脚本被永久存储在目标服务器上，当其他用户访问包含恶意内容的页面时，攻击代码会在其浏览器中执行。攻击者通常通过在主题的评论、用户资料、产品描述或其他允许用户输入的功能点注入JavaScript代码。由于Rehub主题在输出这些数据时未进行适当的HTML转义，浏览器会将其解析为可执行脚本。防御此类漏洞需要实施多层防护：在输入阶段进行严格的输入验证，在输出阶段对所有动态内容进行HTML实体编码，并对用户输入使用Content Security Policy等安全响应头进行额外保护。