CVE-2026-6447WordPress插件“Call for Price for WooCommerce”在4.2.0及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于管理设置页面缺乏充分的输入清理和输出转义。在多站点安装或禁用了unfiltered_html权限的环境中，拥有管理员及以上权限的经过身份验证的攻击者可以利用此漏洞在页面中注入任意Web脚本，当用户访问被注入的页面时，恶意脚本将被执行。
该漏洞位于WooCommerce的“Call for Price”插件的管理后台设置功能中。由于插件在处理特定配置选项时未对用户提交的数据进行严格的输入验证和过滤，同时在输出时缺乏必要的转义机制，导致攻击者能够存储恶意载荷。尽管利用此漏洞通常需要管理员级别的账户权限，但在WordPress多站点配置或unfiltered_html功能被禁用的标准安装中，管理员通常无法直接发布HTML代码。此漏洞允许具有管理员权限的攻击者绕过这些安全限制，通过受影响的设置参数注入持久化的JavaScript代码，进而影响后续访问该管理页面的其他用户。