CVE-2026-4025 WordPress插件存储型XSS漏洞

WordPress插件PrivateContent Free在1.2.0及之前版本中存在存储型XSS漏洞。由于`align`短代码属性缺乏输入清洗和输出转义，具有贡献者及以上权限的认证攻击者可注入恶意脚本，导致访问受感染页面的用户执行任意Web脚本。

该漏洞源于WordPress插件PrivateContent Free对`[pc-login-form]`短代码中的`align`属性处理不当。数据流从短代码经过`pc_login_form()`函数传递至`pc_static::form_align()`函数。在此过程中，属性值未经`esc_attr()`函数或其他转义处理，直接拼接到HTML的class属性中。这使得拥有贡献者及以上权限的攻击者可以通过发布包含恶意构造短代码的文章，将JavaScript代码持久化存储在服务器端。一旦管理员或其他用户访问该注入页面，恶意脚本将在其浏览器上下文中执行，可能导致会话劫持或进一步攻击。