CVE-2025-68879CVE-2025-68879是WordPress插件Content Grid Slider中存在的反射型跨站脚本（Reflected XSS）漏洞。该漏洞由Patchstack安全团队的审计人员发现，CVSS评分为7.1，属于高危级别。漏洞根源在于Web应用程序在生成页面时未对用户输入进行充分的消毒处理，导致攻击者可以通过构造恶意脚本并将其注入到网页响应中，当其他用户访问包含恶意代码的链接时，浏览器会执行攻击者植入的JavaScript代码。攻击者可利用此漏洞窃取受害者的会话Cookie、劫持用户账户、进行钓鱼攻击或修改页面内容。由于该漏洞无需认证即可利用，且需要用户交互（点击恶意链接），因此具有较高的实际威胁性。所有使用Content Grid Slider插件1.5及以下版本的用户都面临此安全风险。
该反射型XSS漏洞存在于Content Grid Slider插件的多个参数处理逻辑中。攻击者通过在URL参数中嵌入恶意JavaScript代码（如<script>alert(document.cookie)</script>），当服务器将用户输入未经转义直接回显到HTML响应中时，浏览器会将其解析为可执行脚本。典型的攻击场景是攻击者构造包含恶意脚本的URL链接，通过社会工程学手段诱骗受害者点击。由于反射型XSS的特性，恶意脚本不会存储在服务器端，而是通过URL参数即时反射到受害者浏览器中执行。攻击者通常利用此漏洞获取受害者的身份验证Cookie，进而冒充合法用户进行操作。在CVSS向量中，攻击向量为网络（AV:N），无需认证（PR:N），但需要用户交互（UI:R），影响范围包括机密性（C:L）、完整性（I:L）和可用性（A:L）。