CVE-2026-7659WordPress的Advanced Social Media Icons插件在所有版本（包括1.2）中存在存储型跨站脚本（XSS）漏洞。该漏洞源于`social`短代码对用户提供的属性缺乏足够的输入清理和输出转义。具有贡献者及以上权限的经过身份验证的攻击者可利用此漏洞在页面中注入任意Web脚本，一旦用户访问被注入的页面，脚本便会自动执行，从而窃取敏感信息或进行其他恶意操作。
该漏洞的核心机制在于WordPress插件对Shortcode（短代码）参数处理的安全缺失。在Advanced Social Media Icons插件中，`social`短代码用于渲染社交媒体图标，但其解析函数未对用户传入的属性参数（如URL、标题等）实施严格的输入验证和过滤。此外，在将数据输出到HTML页面时，插件也未执行必要的HTML实体转义，导致浏览器将用户输入解析为可执行代码。攻击者利用此漏洞时，首先需获取WordPress站点的贡献者及以上权限账户。随后，攻击者在编辑文章或页面时，构造包含恶意JavaScript事件的`social`短代码 payload（例如利用`onerror`或`onclick`事件）。该恶意载荷被保存至数据库后，当任何用户（包括管理员）访问被植入该短代码的页面时，恶意脚本便会在其浏览器上下文中执行。这种存储型XSS攻击常被用于窃取Cookie、会话令牌，甚至通过结合其他攻击提升权限。