Click to Chat <= 4.22 - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via data-no_number Parameter 漏洞信息(CVE-2025-5336)

一、漏洞 CVE-2025-5336 基础信息

AIGC 神龙大模型
美国国家漏洞数据库 NVD

漏洞信息

                                        神龙正在分析中.

提示

尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！

漏洞标题

Click to Chat <= 4.22 - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via data-no_number Parameter

来源：美国国家漏洞数据库 NVD

漏洞描述信息

The Click to Chat plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘data-no_number’ parameter in all versions up to, and including, 4.22 to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

来源：美国国家漏洞数据库 NVD

漏洞类别

在Web页面生成时对输入的转义处理不恰当(跨站脚本)

来源：美国国家漏洞数据库 NVD

二、漏洞 CVE-2025-5336 的公开POC

#	POC 描述	源链接	神龙链接

三、漏洞 CVE-2025-5336 的情报信息

标题： Click to Chat <= 4.22 - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via data-no_number Parameter -- 🔗来源链接

标签：
神龙速读
标题： Click to Chat – HoliThemes – WordPress plugin | WordPress.org -- 🔗来源链接

标签：
神龙速读
标题： app.dev.js in click-to-chat-for-whatsapp/tags/4.22/new/inc/assets/js/dev – WordPress Plugin Repository -- 🔗来源链接

标签：
标题： app.dev.js in click-to-chat-for-whatsapp/tags/4.22/new/inc/assets/js/dev – WordPress Plugin Repository -- 🔗来源链接

标签：
标题： Changeset 3309693 – WordPress Plugin Repository -- 🔗来源链接

标签：
https://nvd.nist.gov/vuln/detail/CVE-2025-5336