CVE-2026-4125: WordPress WPMK Block插件存储型XSS漏洞

WordPress的WPMK Block插件在1.0.1及以下版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件对用户提供的shortcode属性缺乏足够的输入清理和输出转义。具体而言，`wpmk_block_shortcode()`函数中的'class'属性被直接拼接到HTML div元素的class属性中，未经任何转义处理。这允许拥有Contributor及以上权限的认证攻击者在页面中注入任意Web脚本，当用户访问受感染页面时触发执行。

该漏洞的核心问题位于插件的`wpmk_block_shortcode()`函数处理逻辑中。当插件解析shortcode时，会从用户可控的属性数组中提取'class'参数。代码未对该参数进行安全过滤，直接将其字符串拼接到返回的HTML div标签的class属性里。由于WordPress默认并不会自动转义shortcode输出的内容，攻击者可以利用这一缺陷，构造包含恶意JavaScript代码的class值。攻击者仅需具备Contributor级别的权限，即可在发布文章或页面时插入恶意的shortcode。该恶意脚本被存储在数据库中，一旦管理员或其他用户浏览该页面，脚本便会在其浏览器上下文中执行，从而可能导致Cookie窃取、会话劫持或恶意操作。