CVE-2026-39638Themeum Qubely插件在1.8.14及之前版本中存在存储型跨站脚本（XSS）漏洞。由于在网页生成过程中未能正确中和用户输入，具有高权限的攻击者可以注入恶意脚本。该脚本会被存储在服务器上，当其他用户访问受影响页面时触发，可能导致用户信息泄露或会话劫持，对系统安全性构成威胁。
该漏洞的核心在于Themeum Qubely插件未能正确过滤和转义用户提交的数据。攻击者首先需要获取网站的高权限账户（如管理员权限），这通常通过社会工程学或其他漏洞实现。随后，攻击者利用插件提供的编辑功能，在Qubely的区块或字段中注入恶意的JavaScript代码（如<script>标签或事件处理器）。由于缺乏输出编码，这些payload被持久化存储在数据库中。当管理员或其他用户访问包含该恶意内容的文章或页面时，浏览器会解析并执行这段代码。根据CVSS 3.1评分，该漏洞具有低攻击复杂度，且攻击范围可扩展到同源的其他组件，可能导致低程度的机密性、完整性和可用性损失。攻击者利用此漏洞可进一步窃取Cookie或执行管理操作。