CVE-2025-64275CVE-2025-64275是WordPress Booking Manager插件中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞由于插件在处理用户输入时未对特殊字符进行充分过滤和转义，导致攻击者可以在预订系统中注入恶意JavaScript代码。这些恶意代码会被永久存储在数据库中，当其他用户访问相关页面时，恶意脚本会自动执行，从而窃取用户会话cookie、劫持用户账户或进行其他恶意操作。Booking Manager是WordPress平台上广泛使用的预订管理插件，用于处理酒店、民宿、活动等预订业务。由于该插件涉及敏感的用户数据和预订信息，存储型XSS漏洞的存在可能导致大量用户隐私信息泄露。攻击者利用此漏洞需要具备一定的账户权限（低权限即可），并需要诱导其他用户进行交互操作，如访问特定的预订页面或管理面板。该漏洞于2025年11月13日被Patchstack安全团队发现并披露，CVSS评分6.5，属于中等严重程度。
存储型XSS漏洞的核心问题在于应用程序将用户输入的数据未经适当处理即存储到数据库中，并在后续页面渲染时直接输出给其他用户。在Booking Manager插件中，攻击者可以通过预订表单、评论、或其他用户可输入的字段提交包含恶意JavaScript代码的内容。由于插件未对这些输入进行HTML实体编码（如将<script>转换为<script>），恶意代码会被直接写入数据库。当管理员或其他用户查看相关预订记录或统计页面时，服务器从数据库取出数据并嵌入到HTML响应中，浏览器会将其作为合法脚本执行。攻击者常利用此漏洞窃取受害者的认证令牌（Cookies），进而冒充受害者进行操作。防御此类漏洞需要在数据输入时进行严格验证，在数据输出时进行HTML实体编码，并实施Content Security Policy（CSP）限制脚本执行来源。