CVE-2026-1851WordPress 的 iVysilani Shortcode 插件在 3.0 及之前的所有版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件对 'width' shortcode 属性的输入清理和输出转义不足。具有 Contributor 级别及以上权限的认证攻击者可以利用此漏洞，在页面中注入任意 Web 脚本。一旦管理员或其他用户访问被注入的页面，恶意脚本即会在其浏览器环境中执行，从而可能导致账户劫持、敏感信息泄露等安全风险。
漏洞出现在插件处理 Shortcode 的逻辑中。当插件解析 `[ivysilani]` 标签时，直接从属性中获取 'width' 参数的值，并将其未经转义地输出到 HTML 页面中。由于 WordPress 的 Contributor 角色通常拥有发布内容的权限（可能需审核），攻击者可以构造带有恶意的 'width' 属性值，例如插入事件处理器（如 onload/onmouseover）或闭合标签注入脚本。当具有更高权限的用户（如管理员）查看包含此恶意 Shortcode 的页面时，浏览器会解析并执行其中的恶意 JavaScript 代码。这种存储型 XSS 攻击利用了站点对受信任用户的信任，使得攻击者能够绕过同源策略限制，窃取管理员的 Session Cookie 或执行管理操作。