CVE-2026-22353CVE-2026-22353是WordPress teachPress插件中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞由于应用程序未对用户输入进行适当的过滤和转义处理，导致恶意JavaScript代码可以被存储在数据库中，并在其他用户访问相关页面时执行。teachPress是一款用于管理课程和教学资源的WordPress插件，广泛应用于教育类网站。攻击者可通过在插件的输入字段中注入恶意脚本，当管理员或其他用户查看包含该恶意内容的页面时，攻击者的JavaScript代码将在受害者浏览器中执行，可能导致会话劫持、敏感信息窃取或进一步的攻击。由于该漏洞为存储型XSS，其危害程度高于反射型XSS，因为恶意代码会持久存在于系统中，影响所有访问相关页面的用户。
该存储型XSS漏洞存在于teachPress插件的多个输入处理模块中。攻击者通过在课程信息、学生资料或其他可存储的字段中插入恶意JavaScript代码，如：<script>alert(document.cookie)</script>或<img src=x onerror=恶意代码>。由于插件在后端保存数据时未对特殊字符进行HTML实体编码，当这些数据被前端页面读取并显示时，浏览器会将其解析为可执行代码。攻击成功的前提是目标用户访问包含恶意内容的页面。由于该插件常用于教育机构网站，攻击者可能针对学生信息、成绩记录或课程评价等功能点进行攻击。漏洞影响版本从n/a至9.0.12，CVSS 3.1评分6.5（中等严重度），攻击向量为网络，认证要求低权限，但需要用户交互才能触发。