CVE-2026-0703: NextMove Lite插件存储型XSS漏洞

WordPress插件“NextMove Lite – Thank You Page for WooCommerce”在2.23.0及之前的所有版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件对“xlwcty_current_date”短代码中用户提供的属性缺乏足够的输入清理和输出转义。拥有贡献者级别及以上权限的认证攻击者可以利用此漏洞注入恶意Web脚本。当其他用户访问被注入的页面时，脚本将在其浏览器中执行，可能导致会话劫持或敏感信息窃取。

该漏洞位于插件的短代码处理逻辑中，具体涉及 `xlwcty_current_date` 短代码。由于开发人员未对用户输入的属性进行严格的过滤和转义，攻击者可以在短代码参数中插入JavaScript代码。例如，攻击者可以在WooCommerce感谢页面的配置中，利用贡献者权限编辑页面内容，插入包含恶意Payload的短代码。当该短代码被渲染时，未经过滤的恶意代码会被直接输出到HTML页面中。由于是存储型XSS，恶意脚本会持久化存储在服务器端，任何访问该页面的用户都会触发XSS攻击，结合CVSS向量中的S:C（范围改变），该漏洞的影响范围可扩展至同源下的其他页面或上下文。