CVE-2026-4072 WordPress PayPal Donation插件存储型XSS漏洞

WordPress PayPal Donation插件在所有版本（包括1.01）中存在存储型跨站脚本（XSS）漏洞。该漏洞是由于插件在处理'donate'短代码属性时，未能对用户提供的输入（如amount、email、title等）进行充分的清理和输出转义。具有投稿人及以上权限的认证攻击者可以利用此漏洞在页面中注入任意恶意Web脚本。当用户访问被注入的页面时，脚本将在其浏览器中执行，可能导致敏感信息泄露或会话被劫持。

该漏洞位于`wordpress_paypal_donation_create()`函数中。该函数使用`extract(shortcode_atts(...))`方法提取短代码属性，这些属性包括amount、email、title、return_url等。随后，代码直接将这些用户可控的变量拼接进HTML输出的单引号属性值中，未进行任何安全转义。例如，当生成HTML标签时，若未过滤单引号，攻击者可通过构造特定的Payload闭合属性并插入恶意事件处理器（如onmouseover）。由于WordPress默认允许具有投稿人权限的用户发布包含短代码的内容，攻击者可利用此权限将恶意脚本持久化存储在服务器上，进而诱导管理员或其他高权限用户访问触发XSS。