CVE-2026-93512 WordPress JW Player 插件未授权 XSS 漏洞
影响未授权攻击者可注入恶意脚本，在受害者浏览器中执行
AI 研判
JW Player for WordPress 插件 2.3.11 及之前版本存在未授权跨站脚本（XSS）漏洞。攻击者无需登录即可注入恶意脚本，当用户访问受影响页面时脚本会在其浏览器中执行。该漏洞 CVSS 评分为 7.1，属于高危漏洞。
影响范围
JW Player for WordPress
JW Player for WordPress 插件 2.3.11 及之前版本受影响，具体修复版本暂无公开信息。
漏洞详情
该漏洞属于反射型或存储型跨站脚本（XSS），成因是插件未对用户可控输入进行充分的过滤或转义。未授权攻击者可构造包含恶意 JavaScript 的请求或内容，诱导受害者访问后脚本在受害者浏览器上下文中执行。攻击者可借此窃取会话 Cookie、篡改页面内容或进行钓鱼攻击。
利用条件与风险
利用无需身份认证，攻击者可通过诱导用户点击恶意链接或访问被注入页面触发，实战风险较高。
修复建议
建议关注厂商发布的修复版本并及时升级插件；临时缓解措施包括部署 WAF 过滤恶意脚本输入、对用户输入进行严格过滤与转义，具体官方修复方案暂无公开信息。
原始情报
Unauthenticated Cross Site Scripting (XSS) in JW Player for WordPress <= 2.3.11 versions.