CVE-2026-34887Extend Themes开发的Kubio AI Page Builder插件中存在一个存储型跨站脚本（XSS）漏洞。该漏洞是由于在Web页面生成过程中未对用户输入进行充分的中和处理造成的。攻击者可利用此漏洞在受影响页面上存储恶意脚本，当其他用户（包括管理员）访问该页面时，恶意脚本将在其浏览器中执行。受影响的版本包括从n/a到2.7.0的所有版本。
该漏洞属于存储型跨站脚本攻击（Stored XSS），其根本原因在于Kubio AI Page Builder插件在处理用户输入数据时，缺乏对危险字符的适当转义和过滤机制。根据CVSS向量分析，攻击者需要具备低权限（PR:L），这意味着攻击者可以注册普通账户或利用已有的低权限账户进行攻击。攻击者通过插件提供的页面构建或内容编辑功能，将包含JavaScript代码的恶意Payload（如`<script>`或事件处理器）注入到数据库中。由于存在UI:R（需要用户交互）和S:C（范围改变），当管理员或其他用户访问被注入的页面时，服务器会直接输出未经过滤的恶意脚本。攻击者可借此窃取敏感信息（如Session ID、Cookie）、重定向用户至钓鱼网站，或者利用管理员权限进一步上传Webshell，从而完全控制服务器环境。