CVE-2026-4142WordPress 插件 Sentence To SEO 在 1.0 及以下版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于“Permanent keywords”字段缺乏足够的输入清理和输出转义机制。由于插件直接存储未经过滤的用户输入并在输出到 textarea 元素时未进行转义，具有管理员权限的攻击者可利用此漏洞注入任意 Web 脚本。当其他用户访问插件设置页面时，恶意脚本将被执行，可能导致账户被劫持或页面内容被篡改。
该漏洞的核心在于插件对用户输入的处理不当。插件使用 `filter_input_array(INPUT_POST)` 接收数据，并默认使用 `FILTER_DEFAULT` 过滤器，这意味着没有对 HTML 或 JavaScript 字符串进行清理。随后，数据通过 `update_option()` 函数直接存储到 WordPress 的 options 表中，未经过滤。在输出阶段，插件使用 PHP 的短回显标签 `<?= ?>` 将存储的值直接输出到 textarea 元素内。由于没有使用 `htmlspecialchars()` 或类似的转义函数，攻击者可以输入 `</textarea>` 标签来闭合当前的 textarea，然后在其后注入恶意的 HTML 或 JavaScript 代码。尽管攻击需要高权限（PR:H），但这允许具有管理员级别的攻击者在后台植入持久化后门，影响后续访问设置页面的用户。