CVE-2026-6962该WordPress插件“Cost of Goods: Product Cost & Profit Calculator for WooCommerce”在所有版本（包括4.1.0及以下）中存在存储型跨站脚本（XSS）漏洞。漏洞源于插件对用户提供的属性在`alg_wc_cog_product_cost`和`alg_wc_cog_product_profit`短代码中缺乏足够的输入清理和输出转义。拥有贡献者级别及以上权限的经过身份验证的攻击者可以利用此漏洞在页面中注入任意Web脚本。当用户访问被注入的页面时，脚本将自动执行，可能导致窃取用户凭证或进行恶意操作。
该漏洞的核心在于WordPress插件对Shortcode（短代码）处理的不安全实现。具体而言，插件中的`alg_wc_cog_product_cost`和`alg_wc_cog_product_profit`短代码允许用户通过属性输入数据，但在处理这些属性时，未进行严格的输入验证和消毒，且在输出到HTML页面时未进行适当的转义。攻击者利用这一缺陷，可以在具有“贡献者”权限的账号下发布文章或页面，并在短代码属性中嵌入恶意的JavaScript代码（例如`<script>`标签或事件处理器）。由于这是存储型XSS，恶意代码会被持久化存储在服务器的数据库中。当管理员或其他用户浏览受影响的页面时，浏览器会解析并执行这些恶意脚本，从而在受害者的浏览器上下文中运行。这可能导致会话劫持、篡改网页内容或重定向至恶意站点。CVSS向量中的S:C表示该漏洞具有跨站影响，即攻击可能波及同源下的其他Web应用。