CVE-2026-6725 WPC Smart Messages存储型XSS漏洞

WordPress插件WPC Smart Messages for WooCommerce在4.2.8及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于`wpcsm_text_rotator`短代码的'text'属性缺乏足够的输入清理和输出转义。拥有贡献者及以上权限的经过身份验证的攻击者可以利用此漏洞在页面中注入任意Web脚本。当用户访问被注入的页面时，恶意脚本将自动执行，从而导致账户被劫持或敏感信息泄露。

该漏洞的核心在于WordPress插件处理短代码时的安全缺陷。具体而言，`wpcsm_text_rotator`短代码用于在页面上展示旋转文本消息。在处理该短代码的'text'属性时，代码未对用户输入进行充分的过滤，也未在输出到浏览器前进行适当的HTML实体转义。由于WordPress允许具有“贡献者”及以上角色的用户发布内容，攻击者可以登录后台，编辑文章或页面，并插入包含恶意JavaScript代码的短代码（如`[wpcsm_text_rotator text="<script>alert(1)</script>"]`）。当管理员或其他用户访问包含该短代码的页面时，服务器会解析短代码并将未经转义的恶意脚本直接返回给浏览器执行。这是一种典型的存储型XSS攻击，利用了服务器对用户输入的信任缺失。