CVE-2026-25025VikRestaurants插件在处理用户输入时存在安全缺陷，未能正确中和特殊字符，导致反射型跨站脚本（XSS）漏洞。攻击者可利用此漏洞构造恶意URL，诱导已登录的管理员或用户点击，进而在受害者浏览器中执行恶意JavaScript脚本。这可能造成敏感信息泄露、会话劫持或进一步的攻击行为。
该漏洞属于反射型跨站脚本攻击（Reflected XSS），对应CWE-79。其根本原因在于VikRestaurants插件在Web页面生成过程中，对用户提交的输入数据未进行充分的中和处理。攻击者无需认证即可在网络层面发起攻击（AV:N/PR:N）。具体利用时，攻击者会寻找插件中直接输出GET或POST参数的端点，构造包含JavaScript代码的恶意URL。例如，在某个搜索或查看功能的参数中插入<script>alert(1)</script>。当受害者被诱导点击该链接时，服务器将恶意代码作为响应内容的一部分返回给浏览器。浏览器无法区分合法内容和恶意脚本，从而执行该代码。由于CVSS向量中作用域为改变（S:C），该漏洞可能突破浏览器的同源策略限制，利用受害者的身份权限执行操作，造成数据窃取或篡改。