CVE-2026-3618WordPress插件Columns by BestWebSoft在1.0.3及以下版本中存在存储型XSS漏洞。由于[print_clmns]短代码的'id'属性缺乏输入清理和输出转义，具有Contributor及以上权限的攻击者可注入恶意脚本。当用户访问包含该短代码的页面时，脚本将被执行，可能导致窃取凭证或恶意操作。
该漏洞位于插件`columns-bws.php`文件中。在处理`[print_clmns]`短代码时，插件通过`shortcode_atts()`获取用户传入的'id'参数（第596行）。尽管SQL查询使用了`%d`占位符将参数强制转换为整数防止SQL注入，但在构建HTML输出（第731行）和内联CSS样式（第672-729行）时，代码直接使用了未经转义处理的原始`$id`字符串。攻击者需具备Contributor权限，并确保数据库中存在至少一个列记录（由Admin创建）以绕过查询条件。通过构造包含JavaScript代码的短代码属性，攻击者可将恶意载荷持久化存储，诱导访问者触发，从而实现跨站脚本攻击。