CVE-2026-1899: Any Post Slider插件存储型XSS漏洞

WordPress的Any Post Slider插件在1.0.4及之前的所有版本中存在存储型跨站脚本（XSS）漏洞。该漏洞是由于插件对`aps_slider`短代码中的`post_type`属性缺乏足够的输入清理和输出转义造成的。拥有投稿者及以上权限的经过身份验证的攻击者，可以在页面中注入任意Web脚本。一旦用户访问被注入的页面，恶意脚本即会在浏览器中执行，从而可能导致窃取会话令牌或进行恶意操作。

该漏洞的根本原因在于插件在处理前端显示逻辑时，未对短代码参数进行严格的安全过滤。具体而言，当插件解析`[aps_slider]`短代码时，直接将用户可控的`post_type`参数值输出到了HTML页面中，而没有使用WordPress的转义函数（如`esc_attr`）。攻击者利用Contributor级别的账户权限，在编辑文章或页面时插入构造的恶意Payload（例如：`[aps_slider post_type='"><script>alert(document.cookie)</script>']`）。由于是存储型漏洞，该恶意内容会被保存到数据库中。当管理员或其他用户访问该特定页面时，服务器会返回包含未转义恶意脚本的HTML响应，导致脚本在受害者的浏览器上下文中执行。