CVE-2026-6172 WordPress Bold Page Builder 存储型 XSS 漏洞
影响攻击者可注入恶意脚本，在用户访问页面时执行
Bold Page Builder 是 WordPress 的一款页面构建插件。其 bt_bb_image 短代码的 caption 参数存在输入过滤与输出转义不足的问题，导致存储型跨站脚本漏洞。攻击者可注入任意脚本，在用户访问被注入页面时执行。
影响范围
影响 Bold Page Builder 插件所有版本，包括 5.7.2 及之前版本。
漏洞详情
漏洞类型为存储型跨站脚本（Stored XSS）。成因是插件对 bt_bb_image 短代码 caption 参数的用户输入未做充分过滤，输出时也未正确转义。具有 Contributor 及以上权限的已认证攻击者可将恶意脚本存入页面，其他用户访问该页面时脚本即被执行。
利用条件与风险
利用需攻击者拥有 Contributor 及以上权限的账户。实战中可窃取会话、篡改页面内容或进行钓鱼，风险中等。
修复建议
官方修复方案暂无公开信息，建议关注插件更新并及时升级至修复版本；临时缓解可限制低权限用户发布内容或对输入进行过滤。
The Bold Page Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘caption’ parameter of the plugin’s bt_bb_image shortcode in all versions up to, and including, 5.7.2 due to insufficient input sanitization and output escaping on user-supplied attributes. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.