CVE-2026-5306Check & Log Email WordPress插件在2.0.13之前的版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件未能正确处理邮件替换功能，特别是在启用邮件编码器设置时存在过滤缺陷。未经身份验证的攻击者可利用此缺陷注入恶意脚本，当管理员查看日志时触发攻击，进而窃取敏感数据或执行恶意操作。
该漏洞的核心成因在于Check & Log Email插件在处理邮件替换逻辑时，未能对用户提交的邮件内容实施严格的过滤和转义机制。特别是在启用了邮件编码器设置的场景下，插件会对特定字段进行处理，但未考虑到恶意脚本注入的风险。攻击者无需经过身份验证，即可利用网站公开的表单接口（如评论、留言或联系表单）提交包含恶意JavaScript代码的数据。该数据被插件捕获并存储在数据库中作为邮件日志。当具有管理权限的用户登录WordPress后台并查看这些日志页面时，存储的恶意代码会被浏览器解析并执行。这种存储型XSS攻击允许攻击者在受害者的浏览器上下文中运行任意脚本，从而窃取会话Cookie、重定向到钓鱼网站，甚至利用管理员权限进一步控制服务器。虽然CVSS评分要求一定的用户交互（UI:R），但只要管理员查看日志即可触发，风险依然显著。