CVE-2026-4279 WordPress Bread & Butter插件存储型XSS漏洞

WordPress Bread & Butter插件在8.2.0.25及之前版本中存在严重的存储型XSS漏洞。该漏洞源于'breadbutter-customevent-button'短代码对'event'属性缺乏充分的输入清理和输出转义。具有投稿人及以上权限的攻击者可利用此漏洞在页面中注入恶意脚本，当用户访问并点击该按钮时触发，导致窃取Cookie或执行恶意操作。

该漏洞位于插件Shortcode.php文件的`customEventShortCodeButton()`函数中。该函数处理'breadbutter-customevent-button'短代码时，直接从'event'属性获取数值，并将其未经`esc_attr()`或`esc_js()`转义就插入到HTML的onclick事件属性的JavaScript字符串中。相比之下，同类的`customEventShortCode()`函数正确使用了`esc_js()`进行转义。攻击者可在WordPress文章或页面中插入包含恶意JavaScript代码的短代码。由于未进行过滤，当代码渲染到前端页面时，恶意脚本被嵌入onclick事件中。一旦拥有低权限（如投稿人）的攻击者提交内容，管理员或其他用户点击生成的按钮时，脚本即在受害者浏览器中执行，从而窃取会话令牌或进行进一步攻击。