CVE-2026-6672WordPress插件SliceWP Affiliates在1.2.7及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于'slicewp_affiliate_url'短代码属性缺乏足够的输入清理和输出转义。具有贡献者及以上权限的认证攻击者可利用此漏洞在页面中注入恶意Web脚本，当用户访问被注入的页面时，脚本将被执行，可能导致会话劫持或恶意重定向。
该漏洞的核心在于SliceWP Affiliates插件对'slicewp_affiliate_url'短代码属性处理不当。在处理用户输入时，插件未实施严格的输入验证机制，允许恶意字符通过。更重要的是，在渲染页面时，插件未对输出到HTML上下文中的属性值进行适当的转义。攻击者可以创建一个具有Contributor权限的账户，在发表文章时插入包含JavaScript代码的短代码（例如：[slicewp_affiliate_url url='javascript:alert(1)']）。这段恶意代码被持久化存储在数据库中。当管理员或普通用户访问该文章页面时，Web服务器会将未转义的数据直接输出到HTML中，导致浏览器解析并执行其中的JavaScript脚本。这使得攻击者能够窃取管理员Cookie、会话ID，甚至利用管理员权限进行服务器端请求伪造或进一步的后门植入。