CVE-2026-6399WordPress General Options插件在1.1.0及以下版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于在“联系号码”字段中使用了sanitize_text_field()函数进行输出转义，该函数虽然能剥离HTML标签，但未对双引号字符进行HTML实体编码。当存储的值在双引号HTML属性中被回显时，攻击者提供的双引号字符会破坏属性上下文。即使WordPress的wp_magic_quotes机制会在引号前添加反斜杠，HTML解析器仍将其视为字面量，导致引号闭合属性。这使得具有管理员权限的认证攻击者能够在管理设置页面中注入任意Web脚本。
该漏洞的核心在于输出转义不充分。插件使用sanitize_text_field()处理用户输入的ad_contact_number字段，该函数仅去除HTML标签而不转义双引号。在HTML渲染阶段，数据被插入到value="..."属性中。攻击者输入双引号（"）时，尽管WordPress会自动添加反斜杠转义（变为\"），但在HTML解析规则中，反斜杠不是转义字符。因此，\"被解析为字面量反斜杠后跟一个闭合属性的双引号。攻击者借此可以注入如onfocus或onmouseover等JavaScript事件处理器，绕过属性边界，执行任意恶意代码。