CVE-2026-4333LearnPress WordPress LMS插件在4.3.3及以下版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于`learn_press_courses`短代码的`skin`属性未经过充分的输入清理和输出转义。具有Contributor及以上权限的攻击者可利用此漏洞向页面注入恶意Web脚本，当其他用户访问被注入的页面时，脚本将在其浏览器中执行，导致窃取凭据或进行恶意操作。
该漏洞位于LearnPress插件处理`learn_press_courses`短代码的组件中。具体而言，在`inc/Shortcodes/Courses/ListCoursesShortcode.php`文件内，代码直接获取`skin`属性的值并将其传递给`sprintf()`函数，用于动态生成HTML标签的`class`和`data-layout`属性。由于开发者在输出数据时未使用WordPress标准的`esc_attr()`函数进行属性转义，导致特殊字符（如双引号、尖括号）未被过滤。攻击者利用Contributor权限编辑文章，插入精心构造的短代码（例如`[learn_press_courses skin="" onmouseover=alert(1) ""]`），即可将恶意JavaScript注入页面。当其他用户浏览该文章时，恶意脚本将在浏览器端自动执行，可能导致会话劫持或恶意重定向。