CVE-2026-1845WordPress Real Estate Pro插件在所有1.0.9及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件对管理员设置页面的输入清理不足和输出转义缺失。具有管理员及以上权限的认证攻击者可以利用此漏洞在页面中注入任意Web脚本。当用户访问被注入的页面时，恶意脚本将在浏览器中执行。值得注意的是，该漏洞仅影响WordPress多站点安装环境或禁用了unfiltered_html权限的安装环境。
该漏洞属于典型的存储型XSS。在WordPress生态中，通常管理员拥有`unfiltered_html`权限，但在多站点网络或特定配置下，该权限可能被禁用，此时WordPress会启用KSES等过滤机制。Real Estate Pro插件在处理管理员设置（如插件选项保存）时，未能在数据存入数据库前进行严格的输入验证和清理，也未在数据输出到前端页面时进行HTML实体编码。攻击者利用高权限账号登录后台，在插件设置的表单字段中提交恶意JavaScript Payload。该Payload被持久化存储。当其他用户访问渲染该数据的前端页面时，浏览器将解析并执行恶意代码，可能导致Cookie窃取、会话劫持或恶意操作。