CVE-2026-7661WordPress 的 Bootstrap Shortcode 插件存在存储型跨站脚本（XSS）漏洞。该漏洞影响 1.0 及以下版本，源于 `box` 短代码对用户提供的属性缺乏足够的输入清理和输出转义。拥有 Contributor 级别及以上权限的经过身份验证的攻击者可以利用此漏洞在页面中注入恶意脚本。当用户访问被注入的页面时，脚本将自动执行，可能导致会话劫持或信息泄露。
该漏洞的核心在于插件处理 `box` 短代码时的安全机制缺失。当插件解析短代码属性时，未对特定参数（如 `box` 的属性）进行严格的输入验证和安全过滤。此外，在将数据输出到 HTML 页面时，缺少必要的上下文相关的输出转义机制。攻击者利用 Contributor 权限登录 WordPress 后台，在文章或页面编辑器中插入包含恶意 JavaScript 代码的 `box` 短代码。由于未经过滤，此代码被存储在数据库中。当管理员或其他用户访问该页面时，浏览器解析 HTML 并执行攻击者注入的脚本。由于 CVSS 向量中的 S:C（范围改变），该漏洞的影响可从受影响的页面扩展到同一域下的其他上下文。