CVE-2026-94081 WordPress Persistent Login 未认证跨站脚本漏洞
影响未认证攻击者可注入恶意脚本，劫持用户会话或窃取敏感信息
AI 研判
WordPress Persistent Login 插件 3.1.3 及之前版本存在未认证跨站脚本（XSS）漏洞。攻击者无需登录即可注入恶意脚本，当其他用户访问受影响页面时脚本会在其浏览器中执行。该漏洞 CVSS 评分为 7.1，属于高危漏洞。
影响范围
WordPress Persistent Login
WordPress Persistent Login 插件 <= 3.1.3 版本受影响，具体修复版本暂无公开信息。
漏洞详情
该漏洞属于反射型或存储型跨站脚本（XSS），成因是插件对用户可控输入未进行充分的过滤或转义。未认证攻击者可构造包含恶意 JavaScript 的请求或内容，诱导受害者访问后脚本在其浏览器上下文中执行。攻击者可借此窃取 Cookie、会话令牌或执行其他恶意操作。
利用条件与风险
利用无需认证，攻击者可通过诱导用户点击恶意链接或访问被注入页面触发，实战中可能导致会话劫持和账户接管。
修复建议
建议关注插件官方更新并升级至 3.1.3 之后的修复版本；临时缓解措施包括对输入进行严格过滤转义、部署 WAF 规则拦截恶意脚本，具体官方修复方案暂无公开信息。
原始情报
Unauthenticated Cross Site Scripting (XSS) in WordPress Persistent Login <= 3.1.3 versions.