CVE-2026-3996 WP Games Embed插件存储型XSS漏洞

WordPress插件WP Games Embed在0.1beta及之前版本存在存储型XSS漏洞。由于插件未对[game]短代码属性进行有效过滤，具有Contributor权限的攻击者可注入恶意脚本。当用户访问受影响页面时，脚本将执行，可能导致会话劫持或恶意操作。

该漏洞的核心在于插件对[game]短代码处理的逻辑缺陷。插件在渲染时，直接将用户可控的属性（如width、src、title、description等）拼接到HTML标记中，未使用WordPress的标准转义函数（如esc_attr或esc_html）进行处理。攻击者只需具备Contributor权限，即可在编辑文章时插入包含恶意JavaScript事件的短代码（例如：`[game title='x' onmouseover='alert(1)']`）。由于是存储型XSS，payload会持久化保存在数据库中。一旦管理员审核页面或普通用户浏览该页面，payload即会在浏览器端触发。这种漏洞常用于窃取Cookie、提升权限或重定向用户，危害较大。