CVE-2026-24617CVE-2026-24617是WordPress Easy Modal插件中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞由于插件在Web页面生成时未对用户输入进行充分的过滤和转义处理，导致攻击者可以在Modal弹窗配置中注入恶意JavaScript代码。所有访问包含该弹窗内容的用户都会受到攻击，攻击者可窃取会话Cookie、劫持用户账户、进行钓鱼攻击或篡改页面内容。由于是存储型XSS，恶意脚本会永久保存在服务器端，每次页面加载时都会执行，危害范围广泛。该漏洞需要低权限认证，但攻击复杂度较低，且对机密性、完整性和可用性都有一定影响。
该漏洞存在于Easy Modal插件的Modal配置功能中。攻击者通过插件的前端提交接口，将包含恶意JavaScript代码（如<script>alert(document.cookie)</script>）的Payload注入到Modal的标题、内容或按钮文本等字段中。由于插件后端未对这些输入进行适当的HTML实体编码或输入验证，直接将数据存储到数据库。当其他用户访问包含该Modal的页面时，恶意代码会随页面内容一同输出到HTML中，被浏览器解析执行。攻击者可以利用此漏洞获取受害者的认证信息、执行任意操作或传播恶意内容。修复方案是在输出时使用esc_html()或esc_attr()等WordPress安全函数对用户输入进行转义，同时在后端添加输入验证和白名单过滤机制。