CVE-2026-6237WordPress Quick Table插件在1.0.0及之前版本中存在严重的存储型跨站脚本（XSS）漏洞。该漏洞是由于插件对‘qtbl’短代码中的‘style’属性缺乏严格的输入清理和输出转义所致。拥有投稿者及以上权限的攻击者可利用此漏洞注入恶意脚本。一旦管理员或其他用户访问被植入恶意代码的页面，脚本便会自动执行，可能导致账户劫持或恶意操作。
漏洞的核心在于WordPress Quick Table插件处理短代码时的安全机制缺失。具体而言，当插件解析`qtbl`短代码时，直接将用户输入的`style`属性值拼接到HTML标签中，未进行有效的过滤和转义。攻击者可以构造特殊的字符串，利用引号闭合原本的样式属性，进而注入恶意的JavaScript事件处理器（如`onmouseover`、`onerror`或`onclick`）。由于这是存储型XSS（Stored XSS），恶意载荷会被持久化保存到数据库中。当具备高权限的用户（如管理员）浏览受影响的页面时，浏览器会解析该HTML代码并触发嵌入的JS脚本。攻击者利用此机制可以窃取管理员的Session ID、Cookie等敏感信息，甚至结合浏览器漏洞进一步攻击，从而完全接管网站权限。