CVE-2025-8726CVE-2025-8726是WordPress WP Photo Album Plus插件中存在的一个跨站脚本（Cross-Site Scripting, XSS）漏洞。该漏洞由WordPress安全团队Wordfence的安全研究员发现并报告，CVSS 3.1评分为5.4分，属于中危级别漏洞。
WP Photo Album Plus是WordPress上一款非常流行的照片相册管理插件，允许用户在WordPress网站上创建、管理和展示照片相册。该插件支持用户上传、评论、标签管理等功能，拥有大量的活跃安装量。由于其在WordPress生态系统中的广泛应用，该插件中的安全漏洞可能影响到大量网站。
该漏洞存在于插件的`wppa_user_upload`函数中，由于对用户输入缺乏充分的过滤和清理（insufficient input sanitization），同时在输出时也未进行适当的转义处理（output escaping），导致攻击者可以在相册描述中注入恶意的JavaScript代码。当其他用户浏览包含恶意代码的相册页面时，注入的脚本将在受害者浏览器中执行，从而可能窃取用户的会话cookie、敏感信息，或者执行其他恶意操作。
值得注意的是，该漏洞需要攻击者至少拥有Subscriber（订阅者）级别的账户访问权限，并且需要受害者进行某种形式的用户交互（如点击链接或访问特定页面）。这意味着该漏洞主要威胁拥有多用户系统的WordPress网站，攻击者可以通过注册低权限账户来利用此漏洞。
该漏洞的根本原因在于WP Photo Album Plus插件的`wppa_user_upload`函数中对用户输入的处理不当。具体技术细节如下：
1. **输入验证缺陷**：`wppa_user_upload`函数负责处理用户上传照片时的相关数据，包括相册描述等字段。该函数未对用户提交的描述内容进行充分的输入验证和过滤，允许包含HTML标签和JavaScript代码的恶意输入直接进入数据库。
2. **输出转义缺失**：当相册描述被渲染并显示给其他用户时，插件未对存储在数据库中的内容进行适当的HTML实体转义（如将`<`转义为`<`，`>`转义为`>`等），导致浏览器将恶意输入解析为可执行的JavaScript代码而非纯文本。
3. **存储型XSS**：由于恶意脚本被持久化存储在数据库中，每当有用户访问受影响的相册页面时，恶意代码都会执行，属于典型的存储型XSS（Stored XSS）攻击。
4. **权限要求**：利用此漏洞需要攻击者拥有Subscriber级别及以上的账户权限。在WordPress中，Subscriber是最低权限的用户角色，注册即可获得。这意味着任何允许用户注册的WordPress网站都面临此威胁。
5. **攻击场景**：攻击者注册Subscriber账户，创建一个包含恶意JavaScript代码的照片相册描述。当管理员或其他有权限的用户查看该相册时，恶意代码将在其浏览器中执行，可用于窃取管理员会话、进行权限提升或执行其他恶意操作。