CVE-2026-32424 BoldGrid Sprout Clients存储型XSS漏洞

CVE-2026-32424是WordPress插件BoldGrid Sprout Clients中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞存在于插件的客户管理功能中，攻击者可以利用此漏洞在受害者的浏览器中执行恶意JavaScript代码。漏洞的CVSS评分为6.5，属于中等严重程度。攻击者需要具有低权限账户（如订阅者或客户角色），通过在客户资料、备注或联系方式等字段中注入恶意脚本。当其他用户（如管理员）查看这些包含恶意代码的内容时，脚本将在其浏览器上下文中执行，从而窃取会话Cookie、劫持用户账户或进行其他恶意操作。此漏洞影响插件3.2.2及以下所有版本。

该存储型XSS漏洞源于BoldGrid Sprout Clients插件对用户输入缺乏充分的输入验证和输出编码。攻击者可在客户信息字段中嵌入<script>标签或事件处理器（如onerror、onload等），这些恶意载荷会被永久存储在数据库中。当管理员或其他用户访问相关页面时，未经过滤的内容会被直接渲染到HTML中，导致恶意脚本执行。漏洞主要影响客户资料编辑、列表展示等核心功能模块。