CVE-2026-6236 WordPress Posts Map插件存储型XSS漏洞

WordPress的Posts Map插件在0.1.3及之前的所有版本中存在一个存储型跨站脚本（XSS）漏洞。该漏洞源于插件在处理'name'短代码属性时，缺乏足够的输入清理和输出转义机制。这允许具有投稿人级别及以上权限的经过身份验证的攻击者，在页面中注入恶意Web脚本。一旦用户访问被注入的页面，恶意脚本将自动执行，可能导致账户劫持、会话窃取或其他恶意行为。

该漏洞位于WordPress Posts Map插件的短代码处理逻辑中。插件通过`posts_map`短代码渲染地图，并接受`name`等参数来自定义显示内容。在0.1.3及更早的版本中，插件直接将用户输入的`name`属性值输出到HTML页面中，而没有应用WordPress标准的转义函数（如`esc_attr`）。攻击者利用这一缺陷，可以在文章或页面内容中插入包含恶意JavaScript代码的短代码，例如通过闭合引号注入`<script>`标签。由于这是存储型XSS，恶意脚本持久存储在数据库中，每次页面加载都会触发。攻击者通常利用此权限提升漏洞，通过注入的管理员操作代码来窃取管理员凭证或安装后门，从而完全控制WordPress站点。