CVE-2026-3619WordPress Sheets2Table插件在0.4.1及以下版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件对`[sheets2table-render-table]`短代码中的'titles'属性缺乏足够的输入清理和输出转义。具有Contributor及以上权限的经过身份验证的攻击者，可以通过恶意构造的短代码属性注入任意Web脚本。当其他用户访问包含该恶意代码的页面时，脚本将在其浏览器中执行，可能导致账户劫持或敏感信息窃取。
该漏洞的具体技术缺陷在于插件处理表格标题时的输出逻辑。在`class-sheets2table-tables.php`文件的`display_table_header()`函数中，代码直接通过`echo $header`将数据输出到HTML的`<th>`标签内，未使用WordPress标准的`esc_html()`函数进行转义。在输入处理阶段，`S2T_Functions::trim_array_values()`函数仅对输入值进行了空白字符修剪，完全未对HTML特殊字符或脚本标签进行过滤。攻击者利用Contributor权限发布文章，插入包含恶意JavaScript的短代码，如`[sheets2table-render-table titles='"><script>alert(1)</script>']`。由于缺乏转义，该脚本被持久化存储在数据库中，当其他用户浏览该页面时，浏览器解析HTML并执行恶意脚本。