CVE-2026-6704WordPress的Blog Settings插件在所有版本（包括1.0及以下）中被发现存在一个反射型跨站脚本（XSS）漏洞。该漏洞的根本原因是插件未能对用户输入的“page”参数进行严格的输入清理和输出转义。由于这一安全缺陷，未经身份验证的攻击者可以构造包含恶意JavaScript代码的特制链接。如果攻击者能够成功诱骗目标用户（如网站管理员）点击该链接，恶意脚本将在受害者的浏览器上下文中执行。这可能导致攻击者窃取用户的Cookie会话信息、重定向到恶意网站，或者在管理员权限下执行未经授权的操作。该漏洞CVSS评分为6.1，被定级为中危风险，提醒站点管理员务必重视并及时处理。
该漏洞的技术细节涉及WordPress插件开发中的常见安全疏忽。在Blog Settings插件的代码逻辑中，特别是在处理页面路由或参数传递的部分，程序直接接收了HTTP GET请求中的“page”参数，并将其未经任何安全处理直接嵌入到HTML响应中返回给客户端。根据CVSS向量（AV:N/AC:L/PR:N/UI:R/S:C），该漏洞具有网络攻击向量、低攻击复杂度，且无需特权即可利用。
具体利用时，攻击者利用浏览器对同源策略的信任，通过注入Payload（如`<img src=x onerror=alert(1)>`或`<script>...</script>`），使得服务器返回的HTML页面包含可执行代码。当受害者访问该链接时，浏览器解析HTML并执行脚本。由于是反射型XSS，恶意载荷不存储在服务器端，而是通过URL参数传递，这使得攻击具有隐蔽性，常用于钓鱼攻击。
安全修复的核心在于实施严格的输出编码。开发者应使用WordPress内置的转义函数（如`esc_html()`、`esc_url()`或`esc_attr()`）对所有动态输出到页面的数据进行处理，确保数据被解释为文本而非HTML代码。此外，还应在前端和后端实施输入验证，限制“page”参数仅允许预定义的合法值，从而从根本上杜绝脚本注入的可能性。