CVE-2026-5742WordPress插件UsersWP在1.2.60及以下版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于对用户提供URL字段的输入清理不足，以及在徽章小部件中渲染用户个人资料数据时输出转义不当。拥有订阅者级别及以上权限的经过身份验证的攻击者，可以利用此漏洞注入任意Web脚本。当用户访问包含受影响徽章小部件的页面时，这些恶意脚本将在浏览器中执行，从而可能导致账户劫持或进一步攻击。
该漏洞的核心问题在于WordPress插件UsersWP对用户提交的个人资料数据（特别是URL字段）缺乏严格的输入验证和输出编码。在用户更新个人资料时，插件未能充分过滤恶意字符。当系统通过“徽章小部件”渲染用户信息时，直接调用了存储在数据库中的未转义数据。利用方式如下：攻击者首先需要注册一个账户或利用现有低权限账户（如订阅者）。在编辑个人资料页面，攻击者在URL相关字段中注入恶意JavaScript代码（例如 javascript:alert(document.cookie)）。一旦保存，该恶意载荷被持久化存储在数据库中。随后，当管理员或其他用户访问集成了UsersWP徽章小部件的页面时，小部件会读取并显示攻击者的资料信息。由于缺乏上下文感知的输出转义，浏览器会将攻击者的数据解析为HTML/JS代码并执行。这允许攻击者窃取Cookie、会话令牌，甚至在管理员上下文中执行任意操作。