CVE-2026-6255 WordPress Simple Owl Shortcodes存储型XSS漏洞

WordPress插件Simple Owl Shortcodes在2.1.1及之前的版本中存在存储型XSS漏洞。该漏洞源于插件对'owls_wrapper'简码中的'num'属性缺乏足够的输入清理和输出转义。拥有贡献者及以上权限的认证攻击者可利用此漏洞在页面中注入恶意脚本，当用户访问被注入的页面时，脚本将自动执行，从而劫持用户会话或进行恶意操作。

该漏洞位于Simple Owl Shortcodes插件的`owls_wrapper`简码处理逻辑中，具体表现为对用户输入参数的过滤不严。在WordPress环境中，插件通过`add_shortcode`注册了`owls_wrapper`，但在处理`num`属性时，未调用必要的清理函数（如`esc_attr`或`sanitize_text_field`），也未在输出时进行HTML实体编码。这使得具有贡献者权限的攻击者可以在文章内容中插入构造好的恶意简码，例如`[owls_wrapper num='x" onmouseover="alert(1)']`。一旦内容被发布，该恶意载荷便存储在数据库中。当管理员或其他访客浏览该页面时，后端PHP代码解析简码并输出属性值，浏览器将其解析为可执行的JavaScript事件，从而触发存储型XSS攻击。