CVE-2026-1395WordPress Gutentools插件在1.1.3及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于Post Slider块的block_id属性缺乏足够的输入清理和输出转义，且插件包含一个自定义反转义例程，重新引入了危险字符。拥有贡献者及以上权限的认证攻击者可利用此漏洞在页面中注入恶意Web脚本，当用户访问被注入的页面时，脚本将自动执行，从而窃取用户数据或劫持会话。
该漏洞位于WordPress Gutentools插件的Post Slider块中。具体而言，block_id参数未经过严格的安全过滤。虽然插件可能对输出进行了基本的转义处理，但其内部实现了一个自定义的反转义函数，该函数错误地将转义后的字符还原为原始形式（例如将<还原为<），从而破坏了安全防护机制。攻击者需具备Contributor（投稿者）或更高级别的账户权限。在编辑文章或页面时，攻击者可以在Post Slider块的配置中，向block_id字段注入包含JavaScript代码的恶意载荷（如<img src=x onerror=alert(1)>）。由于反转义例程的存在，这段载荷在存储到数据库后，当其他用户访问该页面时，会被浏览器解析并执行，导致存储型XSS攻击。这种攻击可用于窃取Cookie、会话令牌或重定向用户至恶意站点。