CVE-2026-7209 WordPress Simple Link Directory存储型XSS漏洞

WordPress Simple Link Directory插件在8.9.2及之前版本中存在存储型跨站脚本（XSS）漏洞。该漏洞源于插件对`qcopd-directory`短代码中的用户提供的属性（如`title_font_size`）缺乏足够的输入清理和输出转义。拥有投稿者及以上权限的认证攻击者可以利用此漏洞在页面中注入恶意Web脚本。当其他用户访问被注入的页面时，脚本将在其浏览器中执行，可能导致用户会话劫持或敏感信息窃取。

该漏洞的核心原理在于WordPress短代码处理机制中缺乏严格的输入验证。Simple Link Directory插件使用`qcopd-directory`短代码来渲染目录列表。在处理短代码属性时，插件直接将用户控制的参数（例如字体大小`title_font_size`）输出到HTML页面中，而未经过滤或转义。具体利用流程如下：攻击者登录拥有至少“投稿者”权限的WordPress账户，创建或编辑一篇文章。在文章内容中插入包含恶意JavaScript代码的短代码属性。保存文章后，插件后端在渲染时将属性值拼接进HTML标签中。由于未对特殊字符进行转义，攻击者可以闭合现有属性并插入恶意的脚本事件处理器。当管理员或其他访客访问该文章页面时，嵌入的恶意脚本即在前端执行，从而实现存储型XSS攻击。