CVE-2026-2437: WP Travel Engine插件存储型XSS漏洞

WordPress的WP Travel Engine插件在6.7.5及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件对'wte_trip_tax'短代码的用户属性输入清理和输出转义不足。拥有投稿人及以上权限的认证攻击者可利用此漏洞注入恶意Web脚本，当用户访问受影响的页面时，脚本将在浏览器中执行，可能导致敏感信息窃取或权限提升。

该漏洞的根源在于WordPress Shortcode处理机制中的输入验证缺失。WP Travel Engine插件的`wte_trip_tax`短代码允许用户传递自定义属性，但在渲染HTML时，未对这些属性进行严格的HTML实体转义或白名单过滤。攻击者可以在短代码属性中注入JavaScript事件处理器（如`onmouseover`、`onerror`等），或者通过引号闭合现有属性以插入新的HTML标签。由于是存储型XSS，恶意载荷被持久化存储在数据库中。一旦管理员或普通用户访问包含该短代码的页面，恶意脚本即会在客户端上下文中执行，攻击者可借此绕过同源策略，获取用户Cookie或执行管理员操作。