CVE-2026-5324WordPress插件Brizy – Page Builder在2.8.11及之前版本存在未认证存储型XSS漏洞。由于缺少nonce验证、文件上传字段处理不当以及安全编码反转，未认证攻击者可注入恶意脚本。当管理员查看表单Leads页面时，脚本将被执行，可能导致管理员会话劫持或其他恶意操作。
该漏洞主要由三个逻辑缺陷引发。首先，`api.php`中的`submit_form()`函数对未登录用户跳过了nonce验证，允许匿名表单提交。其次，`handleFileTypeFields()`函数在未上传文件时未能覆盖用户提供的值，允许攻击者控制本应仅用于文件路径的字段。最关键的是，虽然数据存储时使用了`htmlentities()`进行编码，但在后台显示时通过`html_entity_decode()`（form-entries.php:79）反转了编码。最后，`form-data.php`模板在href属性中直接输出这些值而未使用`esc_url()`过滤。这使得攻击者可以构造恶意表单提交，当管理员在后台查看“Leads”页面时，注入的JavaScript代码将在管理员浏览器上下文中执行。