CVE-2026-4329该漏洞存在于WordPress插件“Blackhole for Bad Bots”的3.8及以下版本中。由于插件对User-Agent请求头的输入清理不足，且在输出时缺乏必要的转义机制，导致未经身份验证的远程攻击者可利用此漏洞注入恶意Web脚本。当管理员访问后台的Bad Bots日志页面时，存储在数据库中的恶意脚本将在浏览器上下文中执行。攻击者可借此劫持管理员会话、窃取敏感信息或在管理员权限下执行未授权操作，对网站安全性构成严重威胁。
漏洞的根本原因在于插件使用了`sanitize_text_field()`函数处理User-Agent数据。该函数虽然能剥离HTML标签（如<script>），但不会转义双引号等HTML特殊字符。处理后的数据通过`update_option()`存入数据库。在后台日志页面渲染时，插件直接将数据输出到HTML input标签的value属性中（未使用`esc_attr()`）以及span标签内（未使用`esc_html()`）。攻击者可构造包含双引号和事件处理器的User-Agent（如`" onmouseover="alert(1)`），从而闭合input标签并注入恶意事件。由于无需用户交互即可触发存储，且针对管理员页面，该漏洞具有较高的利用价值。