CVE-2025-6988Kallyas是WordPress平台上广受欢迎的主题，拥有超过50,000次安装。该主题在4.23.0及之前版本中存在严重的存储型跨站脚本（Stored Cross-Site Scripting）漏洞。漏洞根源在于主题的多个shortcode实现中，对用户提供的属性参数缺乏充分的输入清理和输出转义处理。攻击者只需拥有WordPress网站的贡献者（Contributor）级别权限，即可利用此漏洞在任意页面中注入恶意JavaScript代码。由于该XSS是存储型的，恶意脚本会被永久保存在数据库中，任何访问被污染页面的用户都会自动执行攻击者植入的代码。这可能导致会话劫持、凭据窃取、管理员权限提升等严重安全后果。
该漏洞存在于Kallyas主题的多个shortcode处理函数中。当用户通过WordPress编辑器添加这些shortcode并提供自定义属性时，主题直接将用户输入嵌入到HTML输出中，而未进行适当的HTML实体编码或输入验证。例如，攻击者可以在shortcode属性中注入类似'onerror=alert(1)'或'onclick=document.cookie'等恶意JavaScript事件处理器。由于WordPress的shortcode机制会在页面渲染时自动解析并执行这些短代码，恶意脚本会被嵌入到最终的HTML页面中，形成存储型XSS。攻击者利用此漏洞可以窃取访问者的Cookie信息、劫持用户会话、重定向用户到钓鱼网站或执行其他恶意操作。修复版本4.24.0已添加适当的输入清理和输出转义机制。