CVE-2026-0741Electric Studio Download Counter是WordPress的一个下载计数器插件。该插件在2.4及之前的所有版本中存在的存储型跨站脚本(XSS)漏洞源于对用户输入的安全验证不足。攻击者通过在插件设置中注入恶意脚本代码，由于插件在输出时缺少适当的HTML转义处理，这些恶意代码会被永久存储在数据库中。当其他用户访问包含恶意代码的页面时，攻击脚本就会在其浏览器中执行，可能导致会话劫持、敏感信息窃取或进一步的网络钓鱼攻击。由于漏洞需要管理员级别权限才能利用，这限制了潜在的攻击面，但仍对多用户WordPress环境构成严重安全风险。
漏洞源于插件在处理设置参数时未对用户输入进行充分的HTML转义。攻击者可在插件设置页面的特定参数中注入包含JavaScript代码的恶意字符串。该代码随后被存储在WordPress数据库中，并在插件输出相关内容时未经转义直接渲染到HTML页面中。由于WordPress管理员通常拥有较高的信任级别，这类存储型XSS payload可能在管理员不知情的情况下被执行，进而影响所有访问该页面的用户。攻击者可以利用此漏洞窃取管理员cookie、篡改页面内容或进行其他恶意操作。