CVE-2026-1914WordPress的FuseDesk插件在6.8及其之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件中`fusedesk_newcase`短代码的`emailtext`属性缺乏足够的输入清理和输出转义。拥有投稿者级别及以上权限的经过身份验证的攻击者可以利用此漏洞在页面中注入恶意Web脚本，当其他用户访问被注入的页面时，脚本将会执行，从而导致潜在的数据窃取或会话劫持。
该漏洞主要归因于WordPress FuseDesk插件在处理自定义短代码时的不当编码实践。插件核心文件中的`fusedesk_newcase`函数用于渲染支持工单创建表单。在处理`emailtext`属性时，代码直接使用了用户提供的输入而未执行`esc_attr()`或`esc_html()`等WordPress标准转义函数。
攻击者利用Contributor级别的账户权限，在文章内容或页面中植入构造好的恶意短代码，例如将`emailtext`参数值设为包含JavaScript事件处理器或闭合标签的字符串。当数据提交至服务器并存储于数据库后，并未经过二次清理。随后，当管理员或其他用户浏览该特定页面时，服务器端解析短代码并将未转义的恶意载荷输出到HTML响应流中。浏览器解析该响应，触发脚本执行。由于是在管理员会话上下文中执行，攻击者可利用此漏洞进行提权、安装恶意插件或篡改站点数据。