CVE-2026-1886Go Night Pro WordPress插件在所有版本（包括1.1.0）中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件对'shortcode'中的'margin'属性缺乏足够的输入清理和输出转义。拥有投稿人及以上权限的经过身份验证的攻击者可以利用此漏洞在页面中注入任意恶意Web脚本，当其他用户访问被注入的页面时，脚本将在其浏览器中执行，从而窃取用户信息或进行进一步攻击。
该漏洞位于Go Night Pro插件的短代码处理机制中。具体而言，当插件解析`go-night-pro-shortcode`时，它直接从用户输入中获取`margin`参数的值，并将其未经任何安全过滤或转义直接输出到前端页面的HTML代码中（通常是作为内联样式）。这种缺乏输入清理和输出转义的做法，允许攻击者通过精心构造的Payload闭合当前的CSS属性上下文，进而注入恶意的JavaScript代码。例如，攻击者可以在`margin`属性中插入分号以结束当前样式，随后跟随`javascript:alert(1)`或闭合引号并添加`onerror`事件。由于这是存储型XSS，恶意代码被持久化保存在数据库中。一旦具有投稿人及以上权限的攻击者发布了包含恶意短代码的内容，任何访问该页面的用户（包括管理员）都会在浏览器中执行这些脚本。鉴于CVSS向量中的范围变更（S:C），该漏洞可能不仅限于插件页面，还能影响WordPress站点的其他部分，导致会话劫持、恶意重定向或敏感数据窃取。