CVE-2026-3309WordPress的ProfilePress插件（涵盖付费会员、电商注册及内容限制功能）在4.16.11及以下版本中存在任意Shortcode执行漏洞。该漏洞允许未认证攻击者在结账流程中，通过提交构造的计费字段值，向系统注入恶意的Shortcode代码。由于插件未能正确清理用户输入，这些代码被直接嵌入模板并执行。成功利用此漏洞可能导致敏感数据泄露或权限提升。鉴于CVSS评分6.5且攻击无需交互，建议管理员尽快采取修复措施以降低风险。
该漏洞的核心机制在于插件对模板渲染过程中的输入验证缺失。具体而言，ProfilePress插件在处理结账数据时，允许用户提供的计费字段（如姓名、地址等）直接参与到Shortcode模板字符串的构建中。由于插件开发人员未意识到这些字段可能包含恶意的Shortcode语法，因此在将数据插值到模板之前没有执行严格的过滤或转义操作。当WordPress核心的do_shortcode函数处理这些被污染的模板时，攻击者注入的Shortcode标签会被当作合法指令执行。攻击向量极为简单，无需任何权限认证，仅需向结账端点发送包含特定Shortcode标签的HTTP POST请求即可触发。这种利用方式可能导致未经授权的信息泄露（如通过执行列表用户Shortcode获取管理员账户），或利用其他具有副作用的Shortcode进行进一步的攻击。