CVE-2026-4871WordPress插件Sports Club Management在1.12.9及之前版本中存在严重的存储型跨站脚本（XSS）漏洞。由于`scm_member_data`短代码的`before`和`after`属性未进行充分的输入清理和输出转义，拥有贡献者及以上权限的经过身份验证的攻击者可以向页面中注入任意恶意Web脚本。一旦其他用户访问受感染的页面，恶意脚本将在其浏览器中执行，可能导致账户劫持或敏感信息泄露。
该漏洞具体位于WordPress插件“Sports Club Management”的`scm_member_data`短代码处理逻辑中。在渲染页面时，插件直接将用户传入的`before`和`after`参数值拼接到HTML输出中，而缺乏必要的转义机制。攻击者需具备Contributor（贡献者）级别的账户权限，利用此权限在文章或页面中插入构造好的恶意短代码。例如，通过在属性中注入`<script>`标签，恶意代码被持久化存储。当管理员或其他用户浏览该页面时，服务器端解析短代码并输出未经过滤的Payload，导致受害者的浏览器执行恶意脚本。攻击者可借此窃取登录凭证、Cookie或进行进一步的内网渗透。