CVE-2026-101925 in Bbp Style Pack Plugin
摘要
由 VulDB • 2026-10-01
WordPress 的 bbp style pack 插件存在存储型跨站脚本（Stored Cross-Site Scripting）漏洞，该漏洞出现在所有版本直至并包括 6.4.8 版中。这是由于输入清理和输出转义不足所致。攻击者可以通过 `/wp-admin/profile.php` 中的 `display_name` 参数以及 bbPress 回复表单中的 `bbp_reply_content` 参数进行注入。这使得具有订阅者级别及以上权限的已认证攻击者能够在页面中注入任意 Web 脚本，当用户访问被注入的页面时，这些脚本将会执行。成功利用此漏洞要求攻击者将其构造好的回复包裹在 `<pre>` 代码块中，从而阻止 WordPress 的 `wpautop`/`wptexturize` 处理器将存储的显示名称中的直双引号转换为 typographic curly-quote entities（排版用卷曲引号实体），否则这些实体会中和属性注入。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.