CVE-2026-1913该漏洞影响WordPress的Gallagher Website Design插件，版本范围涵盖2.6.4及以下。其根本原因在于插件对login_link短代码中的prefix属性缺乏充分的输入清理和输出转义机制。拥有贡献者及以上权限的认证攻击者可利用此缺陷在页面中注入任意恶意Web脚本。一旦受害者访问被植入脚本的页面，脚本便会自动执行，可能导致会话劫持或数据窃取等安全风险。
该漏洞属于典型的存储型跨站脚本（Stored XSS）攻击。其技术核心在于WordPress插件对短代码属性的过滤机制缺失。具体而言，Gallagher Website Design插件在处理`login_link`短代码时，直接将用户传入的`prefix`属性值渲染到HTML响应中，未经过任何HTML实体编码或白名单校验。攻击者利用Contributor级别的账户权限，在发布内容时嵌入构造的恶意载荷，如将JavaScript代码注入到prefix属性中。由于是存储型漏洞，恶意载荷会持久化保存在数据库中。当高权限用户（如管理员）浏览受影响页面时，浏览器会解析恶意脚本。结合CVSS 3.1向量中的S:C（范围变更），该攻击可突破当前浏览器的安全隔离，以管理员的会话身份执行操作，从而实现窃取Cookie、会话劫持甚至进一步植入后门的目的。