WP Activity Log <= 5.2.2 - Unauthenticated Stored Cross-Site Scripting 漏洞信息(CVE-2025-0924)

一、漏洞 CVE-2025-0924 基础信息

AIGC 神龙大模型
美国国家漏洞数据库 NVD

漏洞标题

WP Activity Log <= 5.2.2 存储型跨站脚本漏洞

来源：AIGC 神龙大模型

漏洞描述信息

WordPress用WP Activity Log插件存在存储型跨站脚本漏洞。在所有版本中，包括5.2.2版本，由于对'message'参数的输入过滤和输出转义不足，导致未认证的攻击者可以将任意Web脚本插入页面中。当用户访问被插入脚本的页面时，这些脚本将会被执行。

来源：AIGC 神龙大模型

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

来源：AIGC 神龙大模型

漏洞类别

在Web页面生成时对输入的转义处理不恰当(跨站脚本)

来源：AIGC 神龙大模型

漏洞标题

WP Activity Log <= 5.2.2 - Unauthenticated Stored Cross-Site Scripting

来源：美国国家漏洞数据库 NVD

漏洞描述信息

The WP Activity Log plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘message’ parameter in all versions up to, and including, 5.2.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

来源：美国国家漏洞数据库 NVD

漏洞类别

在Web页面生成时对输入的转义处理不恰当(跨站脚本)

来源：美国国家漏洞数据库 NVD

二、漏洞 CVE-2025-0924 的公开POC

#	POC 描述	源链接	神龙链接
1	None	https://github.com/skrkcb2/CVE-2025-0924	POC详情
2	None	https://github.com/skrkcb2/CVE-2025-0924-different	POC详情

三、漏洞 CVE-2025-0924 的情报信息

标题： WP Activity Log <= 5.2.2 - Unauthenticated Stored Cross-Site Scripting -- 🔗来源链接

标签：
标题： WP Activity Log – WordPress plugin | WordPress.org -- 🔗来源链接

标签：
标题： class-alert-manager.php in wp-security-audit-log/trunk/classes/Controllers – WordPress Plugin Repository -- 🔗来源链接

标签：
标题： class-alert.php in wp-security-audit-log/trunk/classes/Controllers – WordPress Plugin Repository -- 🔗来源链接

标签：
标题： Changeset 3238760 – WordPress Plugin Repository -- 🔗来源链接

标签：
https://nvd.nist.gov/vuln/detail/CVE-2025-0924