CVE-2026-3005WordPress List category posts插件在0.94.0及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件的'catlist'短代码未能对用户提供的属性进行充分的输入清理和输出转义。拥有投稿人及以上权限的认证攻击者可利用此漏洞在页面中注入任意恶意Web脚本。一旦其他用户访问受感染的页面，恶意脚本将自动执行，可能导致用户会话劫持或敏感信息泄露。
该漏洞位于WordPress插件“List category posts”中，主要涉及`catlist`短代码对用户输入属性的处理机制。在受影响版本（0.94.0及以下）中，插件在解析`catlist`短代码的属性时，未能对用户提交的参数（如缩略图相关参数）实施足够的输入净化和输出转义。具体代码层面可能未正确使用WordPress的转义函数（如`esc_attr`或`esc_html`），导致攻击者注入的特定字符被直接渲染为HTML标签。
攻击者只需具备投稿人级别的最低权限，即可在发布文章或编辑页面时嵌入恶意构造的`[catlist]`短代码。由于插件直接将这些未经过滤的属性值输出到前端页面的HTML源码中，当管理员或其他用户访问该页面时，浏览器会解析并执行其中包含的恶意JavaScript脚本。这种存储型XSS攻击不仅破坏了页面完整性，还可被用于窃取Cookie、会话令牌，甚至结合其他漏洞提升权限。