CVE-2026-25352MyDecor WordPress主题存在反射型跨站脚本（XSS）漏洞。由于该主题在Web页面生成过程中未能正确中和用户输入，攻击者可以诱导受害者访问恶意链接，从而在受害者浏览器中执行任意JavaScript代码。该漏洞影响1.5.9之前的所有版本，可能导致用户Cookie窃取、会话劫持或网页篡改。
该漏洞属于反射型跨站脚本（Reflected XSS）。其根本原因在于MyDecor主题在处理特定HTTP请求参数时，未对用户提交的输入数据进行有效的安全校验和HTML实体编码。攻击者可利用这一缺陷，构造特制的恶意URL链接。由于攻击向量为网络（AV:N）且无需认证（PR:N），攻击者只需诱导受害者点击该链接。当受害者浏览器发起请求时，服务器会将恶意载荷直接“反射”在响应页面中。此时，浏览器将解析并执行该JavaScript代码。由于CVSS评分中存在范围改变（S:C），该脚本不仅影响当前页面上下文，还可能窃取Cookie、会话令牌或重定向用户至钓鱼网站，造成机密性、完整性和可用性的低程度影响。