CVE-2026-5506WordPress Wavr插件存在存储型跨站脚本（XSS）漏洞，影响0.2.6及以下所有版本。该漏洞源于插件对`wave`短代码中用户提供的属性缺乏严格的输入清理和输出转义。拥有投稿人及以上权限的认证攻击者可利用此漏洞，在页面中注入任意Web脚本。当用户访问被注入的页面时，恶意脚本将在其浏览器中执行，可能导致Cookie窃取或会话劫持。
漏洞核心在于Wavr插件处理`wave`短代码时的安全缺陷。开发者未对用户传入的短代码属性（如颜色、大小、源文件等参数）进行有效的HTML实体编码或过滤。攻击者可以构造包含事件处理器（如onmouseover, onload）或javascript伪协议的特殊属性值。攻击者首先注册为低权限用户（如投稿人），在编辑文章时插入恶意短代码。由于WordPress默认允许投稿人提交文章供审核，一旦管理员访问该文章进行审核，存储在数据库中的恶意代码就会触发。由于CVSS评分为6.4且作用域改变（S:C），攻击者可借此突破同源策略限制，进一步利用管理员权限控制站点。