CVE-2025-66081CVE-2025-66081是WordPress插件Head Meta Data中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞由于插件在处理用户输入时未正确对特殊字符进行HTML转义，导致攻击者可以在网页元数据中注入恶意JavaScript代码。所有访问受影响页面的用户都会自动执行这些恶意脚本，从而造成会话劫持、敏感信息窃取、钓鱼攻击等安全问题。攻击者需要具有高权限（如管理员或编辑角色）才能利用此漏洞，但一旦成功，危害范围将扩展到所有访问该网站的用户。该漏洞影响插件的所有版本直到2025年3月27日。
该漏洞属于经典的存储型XSS漏洞。攻击者通过WordPress后台管理界面，在Head Meta Data插件的元数据输入字段中注入恶意JavaScript代码（如<script>alert(document.cookie)</script>）。由于插件在将这些数据输出到网页前端时未进行充分的HTML实体编码，恶意代码会被浏览器直接解析执行。攻击成功后，所有访问包含该元数据页面的用户都会触发恶意脚本，攻击者可借此窃取用户会话cookie、进行钓鱼攻击或植入更多恶意内容。漏洞的根本原因在于插件使用了不安全的输出函数，未遵循WordPress安全编码规范（esc_html、esc_attr等函数）。