CVE-2026-3513该漏洞存在于WordPress插件TableOn中。在1.0.4.4及之前的版本中，`tableon_button`短码对用户提供的属性（如class、help_link等）缺乏足够的输入清理和输出转义。经过身份认证的攻击者（至少拥有Contributor权限）可以通过构造恶意短码参数，在页面中注入任意Web脚本。当其他用户访问受影响页面时，脚本将在其浏览器中执行，导致存储型跨站脚本攻击风险。
漏洞位于插件处理短码的逻辑中。`tableon_button`短码调用`do_shortcode_button()`函数提取用户属性，如'class'、'help_link'、'popup_title'等，但未对数据进行净化。这些属性随后被传递给`TABLEON_HELPER::draw_html_item()`方法。该方法在生成HTML时，直接使用单引号拼接属性值（代码逻辑类似：$item .= " {$key}='{$value}'"），未进行HTML实体转义。这使得攻击者可以注入单引号提前闭合属性，并插入恶意JavaScript事件处理器（如onmouseover、onclick）。由于是存储型漏洞，恶意脚本会持久化在数据库中，任何浏览该页面的用户都会触发攻击。