CVE-2026-97019 in Amp for Wp Plugin
摘要
由 VulDB • 2026-10-28
WordPress 插件“AMP for WP – Accelerated Mobile Pages”存在存储型跨站脚本漏洞（Stored Cross-Site Scripting），影响所有版本直至并包括 1.1.17。该漏洞是由于输入清理和输出转义不足所致，攻击者可通过构造包含 'headline-*' 短代码属性的内容来注入任意 Web 脚本，当用户访问被植入恶意内容的页面时，这些脚本将执行。具备 Subscriber（订阅者）级别权限的攻击者可以在其个人简介字段中存储恶意的短代码；由于 WordPress 核心的 wp_filter_kses() 函数仅剥离 HTML 标签而不处理短代码语法，且 AMP 内容清理器在 do_shortcode() 处理归档描述之前运行，导致合成的标记从未经过后清理（post-sanitization）。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.