CVE-2026-1278WordPress Mandatory Field插件在所有版本（包括1.6.8）中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件在处理管理员设置时缺乏足够的输入清理和输出转义机制。拥有管理员及以上权限的经过身份验证的攻击者可以利用此漏洞，在设置页面注入任意Web脚本。该漏洞仅在WordPress多站点安装或禁用unfiltered_html功能的安装环境中产生影响，当用户访问被注入的页面时，恶意脚本将自动执行。
该漏洞属于存储型XSS。漏洞触发点位于插件的后台管理设置页面（mandatory-plugin-option-page.php）。由于插件未对用户提交的配置数据进行严格的HTML实体编码或过滤，攻击者可将恶意的JavaScript代码存储在数据库中。在WordPress多站点环境或禁用了unfiltered_html能力的环境中，即使是管理员用户通常也会受到输入限制，但本漏洞绕过了这些限制。当其他管理员用户访问包含该恶意数据的页面时，服务器会将其原样输出，导致浏览器解析并执行攻击者注入的脚本。这可能导致会话劫持、管理员权限下的恶意操作或信息泄露。