CVE-2026-2430 WordPress Autoptimize插件存储型XSS漏洞

WordPress Autoptimize插件在3.1.14及之前版本中存在存储型跨站脚本（XSS）漏洞。由于`add_lazyload`函数的正则表达式过滤不严，攻击者可通过在图片标签的`src`属性中注入特定字符破坏HTML结构。拥有投稿人及以上权限的攻击者可利用该漏洞植入恶意脚本，当用户访问被篡改的页面时，脚本将在其浏览器中自动执行，窃取凭证或进行恶意操作。

该漏洞源于Autoptimize插件在处理图片懒加载时的正则表达式逻辑缺陷。插件使用正则表达式`\ssrc=`来查找并替换图片标签中的`src`属性以添加懒加载功能，但该正则未限制匹配位置必须在属性名开始处。攻击者（需具备投稿人及以上权限）可以撰写文章并插入精心构造的图片标签，例如在`src`属性值中包含` src=`字符串（如`<img src="http://example.com/img.png src=" onerror="alert(1)">`）。当服务器端渲染页面或插件处理缓存时，正则表达式会匹配到属性值内部的` src=`并进行字符串替换。这种操作破坏了原有的HTML闭合结构，导致属性值内的内容被解析为新的HTML属性。攻击者可借此注入`onerror`等事件处理器，进而执行任意JavaScript代码。由于漏洞触发生成的内容被存储在数据库中，属于存储型XSS，危害较高。