Contest Gallery <= 26.0.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via id Parameter 漏洞信息(CVE-2025-3862)

一、漏洞 CVE-2025-3862 基础信息

AIGC 神龙大模型
美国国家漏洞数据库 NVD

漏洞标题

Contest Gallery <= 26.0.6 - 经认证的(contributor+)通过id参数进行存储型XSS攻击

来源：AIGC 神龙大模型

漏洞描述信息

## 漏洞概述 WordPress的Contest Gallery插件存在存储型跨站脚本（XSS）漏洞，通过`id`参数可以在所有版本（包括26.06及以下版本）中触发此漏洞。该漏洞是由于输入清理和输出转义不足导致的。 ## 影响版本所有版本，包括26.0.6及以下版本。 ## 漏洞细节攻击者只需具有Contributor级别及以上权限，即可在页面中注入任意Web脚本。当用户访问被注入的页面时，这些脚本将被执行。 ## 漏洞影响 - 认证攻击者可以利用该漏洞注入恶意脚本。 - 每次用户访问被注入的页面时，注入的脚本都会被执行。

来源：AIGC 神龙大模型

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

来源：AIGC 神龙大模型

漏洞类别

在Web页面生成时对输入的转义处理不恰当(跨站脚本)

来源：AIGC 神龙大模型

漏洞标题

Contest Gallery <= 26.0.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via id Parameter

来源：美国国家漏洞数据库 NVD

漏洞描述信息

Contest Gallery plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘id’ parameter in all versions up to, and including, 26.0.6 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

来源：美国国家漏洞数据库 NVD

漏洞类别

在Web页面生成时对输入的转义处理不恰当(跨站脚本)

来源：美国国家漏洞数据库 NVD

二、漏洞 CVE-2025-3862 的公开POC

#	POC 描述	源链接	神龙链接

三、漏洞 CVE-2025-3862 的情报信息

标题： Contest Gallery <= 26.0.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via id Parameter -- 🔗来源链接

标签：
标题： Comprehensive Contest Gallery Documentation | Contest-Gallery.com -- 🔗来源链接

标签：
标题： cg_entry_on_off.php in contest-gallery/tags/26.0.5/shortcodes – WordPress Plugin Repository -- 🔗来源链接

标签：
标题： Photos, Files, YouTube, Twitter, Instagram, TikTok, Ecommerce Contest Gallery – Upload, Vote, Sell via PayPal or Stripe, Social Share Buttons – WordPress plugin | WordPress.org -- 🔗来源链接

标签：
标题： Changeset 3288915 – WordPress Plugin Repository -- 🔗来源链接

标签：
标题： cg_entry_on_off.php in contest-gallery/tags/26.0.7/shortcodes – WordPress Plugin Repository -- 🔗来源链接

标签：
https://nvd.nist.gov/vuln/detail/CVE-2025-3862