CVE-2025-9854CVE-2025-9854是WordPress平台上一款名为"A Simple Multilanguage Plugin"的插件中存在的存储型跨站脚本（Stored XSS）漏洞。该漏洞由Wordfence安全团队的安全研究员发现，并于2025年10月3日公开披露。
该插件的核心功能是为WordPress网站提供多语言切换支持，允许站点管理员通过短代码（shortcode）的方式在页面中嵌入语言切换器。然而，该插件在处理用户通过短代码属性传入的参数时，未能进行充分的输入过滤和输出转义（insufficient input sanitization and output escaping），导致恶意用户可以在短代码属性中注入任意JavaScript脚本代码。
由于该漏洞属于存储型XSS，恶意脚本会被持久化保存在WordPress数据库中，每当普通用户访问包含被注入短代码的页面时，嵌入的恶意脚本将在受害者浏览器中自动执行。攻击者可以利用此漏洞窃取用户的会话Cookie、进行钓鱼攻击、劫持用户账户、植入恶意软件，甚至在管理员访问时获取网站后台控制权限。
该漏洞的CVSS 3.1评分为6.4分，属于中危级别。攻击需要认证（需要贡献者及以上权限），但无需用户交互，且影响范围已发生改变（Scope Changed），表明漏洞的影响超出了插件本身的权限范围。
该漏洞存在于A Simple Multilanguage Plugin插件的'asmp-switcher'短代码处理逻辑中。WordPress短代码机制允许用户在文章、页面或自定义内容中通过[shortcode_name attr1="value1" attr2="value2"]的形式嵌入动态内容。
漏洞的根本原因在于插件开发者未对短代码属性值进行以下两个关键的安全处理：
1. **输入过滤不足（Insufficient Input Sanitization）**：插件未对用户通过短代码属性传入的字符串进行HTML标签和JavaScript代码的过滤与验证。攻击者可以传入包含<script>标签、事件处理器（如onerror、onload、onmouseover等）或其他恶意HTML元素的字符串作为属性值。
2. **输出转义缺失（Missing Output Escaping）**：即使在处理阶段未做过滤，如果在最终渲染输出时使用适当的转义函数（如esc_html、esc_attr、esc_url等），也能有效阻止XSS攻击。但该插件直接将用户输入的属性值输出到HTML页面中，未进行任何转义处理。
利用方式方面，攻击者需要首先获取WordPress网站的贡献者（Contributor）级别或以上权限（这通常可以通过开放注册或社工手段获得）。随后，攻击者创建一篇新的文章或页面，在内容中插入类似以下的恶意短代码：
[asmp-switcher label=""><script>alert(document.cookie)</script]
当该文章被发布后，恶意脚本将存储在WordPress数据库中。每当任何用户（包括管理员）访问该页面时，浏览器将执行嵌入的JavaScript代码，从而实现Cookie窃取、会话劫持或其他恶意操作。由于漏洞的影响范围已改变（Scope: Changed），低权限用户（贡献者）可以利用此漏洞对更高权限的用户（如管理员）发动攻击。