Time Clock – A WordPress Employee & Volunteer Time Clock Plugin <= 1.3.1 - Authenticated (Custom+) Stored Cross-Site Scripting 漏洞信息(CVE-2025-10701)

一、漏洞 CVE-2025-10701 基础信息

AIGC 神龙大模型
美国国家漏洞数据库 NVD

漏洞信息

                                        # Time Clock 插件 <=1.3.1 存储型XSS漏洞

## 概述

Time Clock 是一个用于 WordPress 的员工和志愿者时间打卡插件，存在存储型跨站脚本（XSS）漏洞。

## 影响版本

所有版本 <= 1.3.1

## 细节

漏洞存在于 `'data'` 参数中，由于对用户输入未进行充分的过滤和转义，攻击者可通过该参数注入任意 Web 脚本。

## 影响

已认证的攻击者（拥有 Time Clock 用户凭证）可注入恶意脚本，当其他用户访问受影响页面时，脚本将被执行，可能导致会话劫持、数据篡改等安全问题。

提示

尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！

漏洞标题

Time Clock – A WordPress Employee & Volunteer Time Clock Plugin <= 1.3.1 - Authenticated (Custom+) Stored Cross-Site Scripting

来源：美国国家漏洞数据库 NVD

漏洞描述信息

The Time Clock – A WordPress Employee & Volunteer Time Clock Plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'data' parameter in all versions up to, and including, 1.3.1. This is due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers with Time Clock user credentials to inject arbitrary web scripts in pages that will execute whenever a user accesses an affected page.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

来源：美国国家漏洞数据库 NVD

漏洞类别

在Web页面生成时对输入的转义处理不恰当(跨站脚本)

来源：美国国家漏洞数据库 NVD

二、漏洞 CVE-2025-10701 的公开POC

#	POC 描述	源链接	神龙链接

三、漏洞 CVE-2025-10701 的情报信息

标题： Time Clock – A WordPress Employee & Volunteer Time Clock Plugin <= 1.3.1 - Authenticated (Custom+) Stored Cross-Site Scripting -- 🔗来源链接

标签：
神龙速读
标题： actions.php in time-clock/tags/1.3/includes – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： activity.php in time-clock/tags/1.3/includes/admin – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： Changeset 3382912 for time-clock – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
https://nvd.nist.gov/vuln/detail/CVE-2025-10701