CVE-2025-14313 - Advance WP Query Search Filter <= 1.0.10 - 通过 taxo_ajax 参数触发的反射型XSS漏洞

概述

漏洞描述

Advance WP Query Search Filter WordPress 插件在 1.0.10 及更早版本中，未能对某个参数进行充分的清理和转义，就直接将其输出回页面中。这导致了一个反射型跨站脚本（Reflected Cross-Site Scripting）漏洞，该漏洞可能被用于攻击高权限用户，例如管理员。

基本信息

• 发布日期：2025年12月30日 上午6:00
• 最后修改日期：2025年12月30日 上午6:00
• 远程利用：否
• 漏洞来源：WPScan

受影响的产品

目前尚未记录到具体的受影响产品。

• 受影响供应商总数：0
• 受影响产品总数：0

解决方案

针对此反射型跨站脚本漏洞，建议采取以下措施：

• 更新插件：将插件更新到最新版本。
• 输入清理：确保对所有用户输入进行适当的清理。
• 输出转义：对输出的数据进行转义，以防止脚本执行。
• 应用补丁：为插件应用安全补丁。

核心解决方案是通过对参数进行清理和转义来解决反射型跨站脚本问题。

漏洞评分详情

目前没有针对此漏洞的CVSS评分指标。

漏洞类型

• 跨站脚本（Cross-Site Scripting）