CVE-2026-94170 Sassy Social Share 反射型 XSS 漏洞

Sassy Social Share 是 WordPress 平台上的社交分享插件，由 Heateor Support 维护。该插件在网页生成过程中未对用户输入进行正确中和，导致反射型跨站脚本（XSS）漏洞。受影响版本为 3.3.79 及之前的所有版本。

影响范围

Heateor Sassy Social Share

Sassy Social Share 插件 3.3.79 及更早版本（n/a through 3.3.79）。

漏洞详情

漏洞类型为反射型跨站脚本（Reflected XSS），成因是插件在生成页面时未对用户可控输入做充分的转义或过滤。攻击者可将恶意脚本构造进请求参数，诱导受害者点击特制链接，脚本随即在受害者浏览器中执行。

利用条件与风险

利用需诱导受害者访问恶意构造的链接，属于典型钓鱼式交互前提；一旦触发，可窃取 Cookie、会话令牌或冒充用户操作，实战风险较高。

修复建议

建议升级至官方修复版本（具体版本号暂无公开信息）；临时缓解可对相关输入参数进行严格过滤与输出转义，并部署 WAF 拦截可疑 XSS 载荷。

Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) vulnerability in Heateor Support Sassy Social Share sassy-social-share allows Reflected XSS.This issue affects Sassy Social Share: from n/a through 3.3.79.