Inactive Logout <= 3.5.5 - Authenticated (Subscriber+) Stored Cross-Site Scripting 漏洞信息(CVE-2025-11922)

一、漏洞 CVE-2025-11922 基础信息

AIGC 神龙大模型
美国国家漏洞数据库 NVD

漏洞信息

                                        # Inactive Logout <=3.5.5 认证存储型XSS漏洞

## 概述

Inactive Logout 是一个 WordPress 插件，用于在用户不活跃一段时间后自动将其注销。在版本 3.5.5 及之前版本中，存在一个存储型跨站脚本（Stored XSS）漏洞。

## 影响版本

- 所有版本号 ≤ 3.5.5

## 漏洞细节

该漏洞出现在 `ina_redirect_page_individual_user` 参数中。插件对该参数未进行充分的输入过滤和输出转义，允许攻击者将恶意脚本注入页面中。

## 漏洞影响

任何拥有“订阅者”或更高等级权限的认证用户都可以利用该漏洞，向页面中注入恶意脚本。当其他用户访问该页面时，脚本将被执行，可能导致会话劫持、恶意请求或其他前端攻击。

提示

尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！

漏洞标题

Inactive Logout <= 3.5.5 - Authenticated (Subscriber+) Stored Cross-Site Scripting

来源：美国国家漏洞数据库 NVD

漏洞描述信息

The Inactive Logout plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'ina_redirect_page_individual_user' parameter in all versions up to, and including, 3.5.5 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

来源：美国国家漏洞数据库 NVD

漏洞类别

在Web页面生成时对输入的转义处理不恰当(跨站脚本)

来源：美国国家漏洞数据库 NVD

二、漏洞 CVE-2025-11922 的公开POC

#	POC 描述	源链接	神龙链接

三、漏洞 CVE-2025-11922 的情报信息

标题： Inactive Logout <= 3.5.5 - Authenticated (Subscriber+) Stored Cross-Site Scripting -- 🔗来源链接

标签：
神龙速读
标题： AdminController.php in inactive-logout/trunk/core/Controllers – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： StoreController.php in inactive-logout/trunk/core/Controllers/Admin – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： tpl-inactive-logout-advanced.php in inactive-logout/trunk/views/tabs – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： Diff [3362978:3385001] for inactive-logout/trunk – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
https://nvd.nist.gov/vuln/detail/CVE-2025-11922