CVE-2026-1806WordPress的Tour & Activity Operator Plugin插件在所有版本（包括1.7.0及以下）中存在存储型跨站脚本（XSS）漏洞。该漏洞源于`tourcms_doc_link`短代码中的`target`参数缺乏足够的输入清理和输出转义。拥有Contributor（投稿者）级别及以上权限的经过身份验证的攻击者可以利用此漏洞，在页面中注入任意Web脚本。一旦普通用户访问被注入的页面，恶意脚本将在其浏览器中执行，可能导致窃取会话Cookie或重定向等攻击。
该漏洞位于WordPress插件“Tour & Activity Operator Plugin for TourCMS”的核心功能代码中。具体而言，插件提供了一个名为`tourcms_doc_link`的短代码（Shortcode），用于生成文档链接。在处理该短代码的`target`参数时，开发人员未对用户输入的数据进行严格的输入验证和安全过滤，也未在输出时进行适当的HTML实体转义。由于WordPress允许投稿者级别（Contributor）的用户发布包含短代码的内容，攻击者可以构造包含恶意JavaScript代码的`target`参数值（例如`target=" onmouseover="alert(1)`）。当包含该短代码的文章被保存时，恶意载荷会持久化存储在WordPress数据库中。随后，当任何用户（包括管理员）访问该文章页面时，插件会解析短代码并将未经转义的`target`参数直接输出到HTML属性中。这导致浏览器将其解析为可执行的JavaScript代码，从而触发存储型XSS攻击。攻击者可利用此漏洞提升权限或进行进一步的内网渗透。