CVE-2026-4076WordPress Slider Bootstrap Carousel插件在1.0.7及之前版本中存在严重的存储型XSS漏洞。该漏洞源于插件对短代码属性的输入清理和输出转义不足，导致具有贡献者及以上权限的认证攻击者能够注入恶意脚本。当普通用户访问包含恶意代码的页面时，脚本将在其浏览器中执行，可能导致会话劫持或恶意重定向。
该漏洞的核心在于插件使用`extract()`函数直接解析`shortcode_atts()`返回的数组，且未对关键变量进行安全转义。具体代码中，`$category`变量被直接拼接到HTML的id、data-target及href属性中，而`$template`变量直接流入class属性，均未调用`esc_attr()`进行过滤。这允许攻击者通过构造包含引号和事件处理器的Payload（如`onmouseover`），闭合原有属性并注入恶意JavaScript。由于漏洞属于存储型XSS，恶意代码会保存在数据库中。攻击者利用贡献者权限发布包含恶意短代码的文章，一旦管理员审核或用户访问该页面，攻击载荷即会被解析并执行，进而窃取敏感凭证或进行后续钓鱼攻击。