CVE-2025-68607CVE-2025-68607是WordPress插件Custom Field Template中的一个存储型跨站脚本(XSS)漏洞。该漏洞由于插件在处理用户输入时未正确对特殊字符进行转义或过滤，导致攻击者可以在自定义字段中注入恶意JavaScript代码。当其他用户访问包含恶意内容的页面时，这些脚本会在其浏览器上下文中执行，从而窃取会话Cookie、劫持用户账户或进行其他恶意操作。由于该漏洞为存储型XSS，恶意代码会持久保存在数据库中，对所有访问相关页面的用户造成影响。攻击者需要拥有WordPress站点的内容发布权限（如作者或更高权限）即可利用此漏洞。CVSS评分6.5属于中等严重程度，主要因为需要用户交互且攻击复杂度较低。
该存储型XSS漏洞存在于Custom Field Template插件的字段处理逻辑中。插件允许用户在文章编辑页面创建和管理自定义字段，但未对用户输入的字段值进行充分的HTML转义处理。攻击者可以在自定义字段值中注入包含JavaScript代码的HTML标签，如<script>alert('XSS')</script>或使用事件处理器如<img src=x onerror=alert(1)>。当页面以HTML形式输出这些未转义的内容时，浏览器会将其解析为可执行代码。漏洞的关键在于插件在保存字段值时直接存储原始输入，而输出时缺少htmlspecialchars()或类似函数的转义处理。攻击者利用此漏洞可窃取管理员Cookie、修改页面内容或重定向用户到钓鱼站点。修复需要在输出时对所有用户可控内容进行HTML实体编码。