CVE-2026-1889WordPress Outgrow插件在2.1及以下版本中存在存储型XSS漏洞。该漏洞源于对“outgrow”短代码“id”属性的输入清理和输出转义不足。具有投稿者及以上权限的认证攻击者可注入恶意脚本。当用户访问被注入页面时脚本将执行，可能导致信息窃取或会话劫持。
该漏洞位于WordPress Outgrow插件的`outgrow`短代码处理逻辑中。在处理用户提交的内容时，插件未对短代码中的`id`参数进行严格的输入验证和安全过滤，直接将其存储在数据库中。当页面渲染时，插件从数据库读取该属性值并直接输出到HTML上下文中，未进行适当的HTML实体转义。由于WordPress允许投稿者级别的用户发布包含短代码的内容，攻击者可以构造恶意的`id`属性值（例如`onmouseover=alert(1)`或`"><script>`）。当管理员或其他用户浏览包含该短代码的文章页面时，嵌入的JavaScript代码将在受害者浏览器上下文中执行。由于是存储型漏洞，恶意脚本持久化存在于服务器端，攻击范围广，且利用门槛相对较低，无需用户交互即可触发，严重威胁网站用户的安全。