漏洞总结 漏洞概述 King Addons for Elementor 插件中的倒计时（Countdown）组件存在跨站脚本攻击（XSS）漏洞。在倒计时结束时，插件会将用户配置的 （消息）内容直接插入到DOM中，未进行任何转义或过滤处理。攻击者若拥有编辑页面权限，可在倒计时组件的设置中注入恶意脚本，当倒计时结束时，恶意脚本将在受害者浏览器中执行。 影响范围 插件名称： King Addons for Elementor 受影响版本： 51.1.38 及更早版本（根据截图中的版本号推断）。 文件路径： 修复方案 在倒计时结束并显示消息时（ 函数），应对 变量进行转义处理（Sanitization），或者使用 属性而非直接拼接 HTML 字符串来插入内容，以防止恶意脚本注入。 漏洞代码 (POC)** 截图中的 文件展示了漏洞的具体逻辑，特别是 函数部分：