CVE-2026-1854WordPress Post Flagger插件在所有版本（包括1.1）中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件‘flag’短代码对用户提供的属性输入清理不足和输出转义缺失。具有投稿者及以上权限的经过身份验证的攻击者可以利用此漏洞，在页面中注入任意Web脚本，当用户访问被注入的页面时，脚本将执行，导致安全风险。
该漏洞的核心在于WordPress Post Flagger插件对`flag`短代码属性的处理机制存在缺陷。插件在渲染短代码时，直接将用户输入的属性值拼接到HTML标签属性中，未执行必要的输入清理和输出转义。攻击者只需具备投稿者（Contributor）或更高权限，即可在发布文章或页面时插入包含恶意JavaScript代码的短代码Payload。例如，通过构造特定的属性值闭合原有HTML标签并插入`onerror`或`onmouseover`事件处理器。由于CVSS向量中存在范围变更（Scope Changed, S:C），一旦管理员或其他用户访问受污染的页面，恶意脚本将在其浏览器上下文中执行。利用该漏洞，攻击者可窃取管理员的Session ID或Cookie，进而接管账户权限，甚至在受害者的浏览器中执行未授权操作，造成严重的安全隐患。