CVE-2026-5451WordPress插件Extensions for Leaflet Map在4.14及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于'elevation-track'短代码对用户提供的属性缺乏足够的输入清洗和输出转义。拥有Contributor及以上权限的认证攻击者可以利用此漏洞在页面中注入任意Web脚本，当用户访问被注入的页面时，脚本将会执行，从而窃取用户信息或进行恶意操作。
该漏洞的核心原理在于WordPress插件Extensions for Leaflet Map在处理'elevation-track'短代码时，未对用户传入的属性参数进行严格的安全过滤和转义。在WordPress生态系统中，短代码允许用户在文章或页面内容中嵌入动态功能。由于该插件直接将用户可控的数据拼接到HTML标签的属性中输出，而没有使用WordPress标准的`esc_attr()`、`esc_html()`或`wp_kses_post()`等安全转义函数，导致了存储型XSS漏洞的产生。攻击过程不需要管理员权限，仅需具备Contributor（投稿者）级别及以上权限的账户即可利用。攻击者在编辑文章时，通过插入包含恶意JavaScript载荷的短代码（例如利用事件处理器如onmouseover或onload），将恶意脚本持久化存储到数据库中。当管理员或其他用户访问该受影响的页面时，嵌入在HTML中的恶意脚本便会在其浏览器上下文中执行。攻击者可利用此漏洞窃取Cookie会话、重定向用户至钓鱼网站，甚至结合其他漏洞提升至管理员权限，对网站安全构成严重威胁。