CVE-2026-88997

JSM Show Post Metadata < 4.9.1 — 贡献者及以上权限通过自定义字段元键存储型 XSS

描述

JSM Show Post Metadata WordPress 插件在 4.9.1 之前的版本中，在将文章元键输出到面向管理员的元框中的内联事件处理程序属性之前，未对其进行正确转义。这允许具有贡献者级别及以上权限的用户注入任意 JavaScript，该脚本会在审阅受影响文章的高权限用户会话中执行（存储型 XSS）。

受影响产品

漏洞类型

• 类型： 存储型跨站脚本（XSS）
• 向量： 自定义字段元键未转义地渲染到内联事件处理程序属性中
• 所需权限： 贡献者或以上
• 影响： 在高权限用户（例如审阅该文章的作者/管理员）的会话中执行 JavaScript

修复措施

将 JSM Show Post Metadata 插件更新至 4.9.1 或更高版本。

致谢

• 发现者： pervinzahidli
• 协调者： WPScan

参考

• WPScan 公告 — 漏洞利用、VDB 条目、技术描述

---

来源：WPScan (CNA) — CVE-2026-88997 的 CVE 记录