CVE-2026-27087G5Theme Wolverine Framework是一款WordPress插件，其n/a至1.9版本中存在反射型跨站脚本（XSS）漏洞。由于在网页生成过程中对用户输入的中和不恰当，攻击者可诱导受害者访问特制的恶意链接。该漏洞无需认证即可利用，但需要受害者进行用户交互（如点击链接）。成功利用此漏洞可能导致攻击者在受害者浏览器中执行恶意JavaScript代码，窃取会话凭证、重定向用户或篡改网页内容。
该漏洞属于反射型跨站脚本（Reflected XSS），其根本原因在于应用程序未能对HTTP请求参数（如GET查询参数或POST表单数据）进行充分的过滤和安全编码，直接将其嵌入到服务器返回的HTML响应流中。攻击者可以利用这一点，构造包含恶意JavaScript代码的URL，例如将`<script>alert(document.cookie)</script>`作为参数值。当未经过滤的输入被服务器接收并原样反射回页面时，如果浏览器没有正确的内容安全策略（CSP）防护，这段恶意代码就会被浏览器解析并执行。由于CVSS向量显示无需认证（PR:N）且影响范围为Scope Changed（S:C），攻击者往往结合钓鱼攻击，诱导受害者点击链接。一旦执行，恶意脚本将运行在受害者的浏览器上下文中，能够读取敏感数据（如Cookie、本地存储）、修改DOM结构或发送未经授权的请求，严重威胁用户数据安全和系统完整性。