CVE-2026-4512该漏洞存在于WordPress插件reCaptcha by WebDesignBy 2.0之前的版本中。由于插件在输出Site Key设置时未进行适当的清理或转义，导致多站点安装中的管理员（即使不具备unfiltered_html权限）可以在WordPress登录页面注入任意JavaScript代码。当访客访问登录页面时，恶意脚本将被执行，造成信息泄露或完整性破坏。
漏洞的根本原因在于插件代码中`grecaptcha_js()`函数对用户可控的“Site Key”参数处理不当。该函数直接将Site Key值拼接到JavaScript字符串上下文中输出，未使用WordPress的转义函数（如`esc_js()`）进行过滤。在WordPress多站点的部署场景下，普通管理员通常受到权限限制，无法发布未经过滤的HTML内容。然而，此漏洞允许权限受限的管理员将恶意代码（如闭合引号后的JS Payload）注入到Site Key字段。一旦保存，任何用户访问`/wp-login.php`时，该恶意脚本都会在浏览器端执行，形成存储型XSS攻击，进而窃取会话Cookie或进行钓鱼攻击。