CVE-2026-4022WordPress插件“Show Posts list – Easy designs, filters and more”在1.1.0及之前版本中存在严重的存储型XSS漏洞。该漏洞源于插件未对'swiftpost-list'短代码中的'post_type'属性进行充分的输入过滤和输出转义。具有投稿人权限的认证攻击者可利用此漏洞在页面中注入恶意脚本，当其他用户访问该页面时触发执行，从而窃取凭证或进行恶意操作。
该漏洞的技术原理在于WordPress插件“Show Posts list”在处理短代码时存在输入验证缺失。具体而言，插件'swiftpost-list'短代码接收'post_type'参数，但在渲染输出前未对参数值执行严格的HTML实体转义或过滤。这破坏了输出上下文的安全性。攻击者可利用此漏洞，构造包含恶意的JavaScript代码（如<script>alert(document.cookie)</script>）作为属性值。由于该插件未限制短代码在内容中的使用，且未对数据来源进行区分，攻击者只需具备投稿人权限，即可通过发表文章将恶意载荷持久化写入数据库。每当有用户访问该受污染的页面时，服务器将直接输出未转义的恶意代码，导致受害者浏览器解析并执行脚本，进而造成客户端会话劫持或权限提升。