CVE-2026-3350WordPress的Image Alt Text Manager插件在1.8.2及以下版本中存在存储型跨站脚本（XSS）漏洞。由于在动态生成图片alt和title属性时，对文章标题的输入清理和输出转义不足，导致具有作者及以上权限的认证攻击者可以注入恶意脚本。当用户访问被注入的页面时，脚本将被执行。
该漏洞的核心在于WordPress插件“Image Alt Text Manager”在处理文章标题时的安全缺陷。插件使用DOM解析器动态生成图片的`alt`和`title`属性，但在这一过程中，未对来自用户输入的文章标题实施严格的输入清洗和输出转义。具体而言，攻击者首先需要获得至少“作者”级别的账户权限。随后，在创建或编辑文章时，攻击者可以在标题栏中插入恶意的HTML或JavaScript代码（如`<script>`标签或事件处理器）。当插件自动处理这些数据并生成前端页面的图像属性时，恶意代码会被持久化存储在数据库中。一旦普通用户或管理员访问了包含该图像的页面，浏览器便会解析并执行这段恶意脚本，从而触发存储型XSS攻击。此漏洞可被用于窃取敏感认证信息（如Cookie）、执行未授权操作，甚至结合其他漏洞进一步接管服务器权限。