CVE-2026-5428 Royal Elementor插件存储型XSS漏洞

WordPress的Royal Elementor Addons插件在1.7.1056及之前版本中存在严重的存储型跨站脚本（XSS）漏洞。该漏洞源于Image Grid/Slider/Carousel小部件在渲染图片缩略图时，对alt属性的输出转义处理不当。具体来说，`render_post_thumbnail()`函数错误地使用了`wp_kses_post()`而非`esc_attr()`，导致具有作者及以上权限的认证攻击者能够通过图片标题注入恶意脚本。当其他用户访问包含该恶意图片的页面时，脚本将在其浏览器中执行，可能导致账户被劫持或敏感信息泄露。

该漏洞的技术核心在于WordPress插件开发中常见的上下文转义错误。在`modules/media-grid/widgets/wpr-media-grid.php`文件的`render_post_thumbnail()`函数中，代码需要输出图片的alt属性。正确的做法是使用`esc_attr()`函数来确保属性值中的特殊字符（如双引号、尖括号）被转义为HTML实体，从而防止闭合标签或注入事件处理器。然而，开发者使用了`wp_kses_post()`，该函数主要用于过滤富文本内容（允许部分HTML标签）。这导致攻击者可以在图片的“标题”或“替代文本”字段中输入诸如`"><script>alert(1)</script>`或`onerror=alert(1)`的Payload。由于未进行属性转义，这段代码会被直接写入HTML的alt属性中，导致浏览器解析并执行JavaScript代码，形成存储型XSS。