CVE-2021-47922Slider by Soliloquy WordPress插件在2.6.2及更早版本中存在存储型跨站脚本（XSS）漏洞。由于缺乏对输入参数的适当过滤，经过身份验证的攻击者可以利用“标题”参数注入恶意JavaScript脚本。当管理员或普通用户访问包含恶意代码的滑块页面时，脚本将在其浏览器中自动执行，从而可能导致会话劫持或敏感信息泄露。
该漏洞属于典型的存储型跨站脚本攻击（Stored XSS）。其技术原理在于Slider by Soliloquy插件未能对用户提交的“title”参数实施有效的安全过滤。攻击流程如下：首先，攻击者注册或获取一个WordPress低权限账户（如Author或Contributor）。随后，攻击者登录后台，进入插件管理页面，利用新建或编辑滑块的功能，在标题栏中植入恶意JavaScript载荷（例如窃取Cookie的脚本）。由于缺乏输出编码，该载荷被原样存储到数据库中。最后，一旦具有更高权限的管理员访问前端展示该滑块的页面或后台管理列表，存储的恶意脚本便会触发，在管理员的浏览器上下文中执行。这允许攻击者绕过同源策略，窃取Session ID，进而完全接管WordPress站点管理权限。