CVE-2026-1911WordPress Twitter Feeds 插件在 1.0.0 及之前版本中存在存储型跨站脚本（XSS）漏洞。该问题的根源在于 'TwitterFeeds' 短代码处理 'tweet_title' 参数时，未实施充分的输入清理和输出转义机制。具有 Contributor 级别及以上权限的经过身份验证的攻击者可利用此缺陷，在页面中注入任意恶意 Web 脚本。一旦用户访问受感染的页面，这些脚本便会在其浏览器中执行，从而造成数据泄露或会话劫持等安全风险。
该漏洞位于 WordPress Twitter Feeds 插件的短代码处理逻辑中。具体而言，当插件解析 `[TwitterFeeds]` 短代码时，会接收并处理 `tweet_title` 参数。由于代码在接收该参数时没有进行严格的输入验证（如过滤特殊字符），并且在将数据输出到 HTML 页面时未进行适当的上下文相关转义（例如使用 `esc_attr` 或 `esc_html`），导致攻击者可以注入恶意的 JavaScript 代码。攻击过程利用了 WordPress 的 Contributor 权限模型。Contributor 用户通常可以提交文章供审核，但无法发布。然而，通过在短代码中嵌入 Payload，攻击者无需等待文章发布即可将恶意代码持久化存储到数据库中。当管理员或其他具有浏览权限的用户加载包含该短代码的页面时，嵌入的脚本将在客户端执行。由于 CVSS 向量包含 S:C（Scope Changed），这意味着攻击可能突破浏览器的同源策略限制，影响同一页面上的其他组件或插件，进而窃取 Cookie、会话令牌或执行进一步的钓鱼攻击。