CVE-2026-25361该漏洞是WpEvently WordPress插件中发现的一个反射型跨站脚本（XSS）安全漏洞。由于插件在Web页面生成时未能对用户提交的输入数据进行恰当的中和处理，攻击者可利用此缺陷构造特制的恶意URL。当受害者访问该链接时，恶意脚本将在其浏览器中执行。该漏洞影响5.1.4及以下版本，攻击者无需认证即可发起攻击，但需要诱导用户交互。
该漏洞的根本原因是缺乏输出编码。WpEvently插件在接收特定HTTP请求参数时，未对这些参数进行安全转义就直接将其包含在服务器的HTML响应中。攻击者可以通过分析插件的请求处理逻辑，找到存在反射点的参数。利用方式通常涉及构造包含恶意JavaScript代码的URL，例如使用<script>标签或事件处理器（如onerror）。攻击者将此恶意链接发送给目标用户（如管理员），一旦用户点击并加载页面，嵌入的恶意脚本将在用户浏览器上下文中执行。由于CVSS向量显示S:C（作用域改变），攻击者可能利用受害者的权限绕过同源策略，窃取Cookie、会话令牌或执行未授权操作。