CVE-2026-32449CVE-2026-32449是WordPress Themify Event Post插件中的一个存储型跨站脚本（Stored XSS）漏洞。该漏洞由于插件在处理用户输入时未能正确对特殊字符进行HTML转义，导致攻击者可以在事件帖子的标题、描述或其他字段中注入恶意JavaScript代码。这些恶意代码会被永久存储在数据库中，当其他用户（包括管理员）访问包含该事件内容的页面时，恶意脚本会自动执行。攻击者可利用此漏洞窃取用户的会话Cookie、劫持用户账号、进行钓鱼攻击或在网站上执行任意操作。由于该漏洞需要低权限用户（如订阅者角色）即可实施，且影响所有访问受影响页面的用户，因此具有较高的实际威胁性。
该存储型XSS漏洞存在于Themify Event Post插件的输入验证和输出渲染环节。在用户提交事件内容时，插件未能对title、description等字段进行充分的输入过滤和HTML实体编码。当这些数据被存储到数据库后，在前端页面渲染时直接输出而未经过转义处理。攻击者可以利用事件创建功能，在字段中插入<script>alert('XSS')</script>或<img src=x onerror=alert(1)>等payload。由于是存储型XSS，恶意代码会持久存在于数据库中，任何访问该事件页面的用户都会触发漏洞利用。攻击者通常利用此漏洞窃取用户认证令牌（Cookie），进而劫持用户会话或获取管理员权限。