CVE-2026-4083WordPress插件Scoreboard for HTML5 Games Lite在1.2及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞是由于'scoreboard' shortcode处理函数未能有效过滤HTML属性，绕过了黑名单机制。拥有Contributor及以上权限的认证攻击者可利用此漏洞在页面中注入恶意JavaScript代码，当其他用户访问受影响页面时触发执行，从而窃取敏感信息或进行恶意操作。
该漏洞位于插件的`sfhg_shortcode()`函数处理逻辑中。虽然开发者使用了`esc_html()`和`esc_attr()`对属性进行转义，并设置了针对`onload`、`onclick`等四个属性的黑名单，但并未覆盖所有JavaScript事件处理器（如`onfocus`、`onmouseover`、`onmouseenter`）。由于这些合法的HTML事件名称及简单的JS载荷不包含会被转义的字符，攻击者可轻易绕过防护。攻击者利用Contributor权限发布包含恶意shortcodes的文章，载荷存储在数据库的`post_content`中。由于WordPress的kses过滤机制在内容存入时生效，而Shortcode在页面渲染时才动态展开，导致生成的iframe标签中包含未过滤的恶意事件处理器，最终触发存储型XSS。