CVE-2026-2837WordPress Ricerca – advanced search 插件在所有版本至 1.1.12 中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件设置中缺乏足够的输入清理和输出转义机制。拥有管理员及以上权限的经过身份验证的攻击者可以利用此漏洞在页面中注入任意 Web 脚本。当用户访问受感染的页面时，脚本将会执行。值得注意的是，该漏洞仅影响多站点安装环境以及已禁用 unfiltered_html 功能的安装环境，这使得攻击者能够劫持会话或进行恶意重定向。
该漏洞的技术核心在于 Ricerca 插件在处理后台设置数据时，未对特定字段实施严格的输入验证和输出编码。漏洞点位于插件的后台管理接口，攻击者需具备管理员级别权限。在标准 WordPress 单站点安装中，管理员通常拥有 `unfiltered_html` 权限，这使得许多 XSS 攻击被 WordPress 核心机制过滤。然而，在多站点网络架构下，或者当系统通过策略禁用了 `unfiltered_html` 权限时，这种保护机制失效。攻击者通过访问插件设置页面，在存在缺陷的文本框或配置项中注入恶意 JavaScript 代码（如 `<img src=x onerror=alert(1)>`）。由于插件在读取配置并渲染前端或后台页面时未进行 HTML 实体转义，该恶意脚本被持久化存储。一旦其他用户或管理员访问包含该配置的页面，恶意脚本即会在其浏览器上下文中执行，从而可能导致账户接管或恶意操作。