CVE-2026-95596 ShopBuilder 反射型 XSS 漏洞
影响攻击者可诱使受害者触发恶意脚本，导致会话劫持或页面篡改
ShopBuilder 是 WordPress 平台上的 Elementor WooCommerce 页面构建插件。该插件在网页生成过程中未对用户输入进行充分中和，存在反射型跨站脚本漏洞。攻击者可构造特制链接，在受害者浏览器中执行任意脚本。
影响范围
ShopBuilder – Elementor WooCommerce Builder Addons 3.4.1 及之前版本受影响，具体起始版本暂无公开信息。
漏洞详情
漏洞类型为反射型跨站脚本（Reflected XSS），成因是插件在生成页面时未对用户可控输入进行正确的转义或过滤。攻击者可将恶意脚本嵌入 URL 参数，诱导受害者点击后脚本在受害者浏览器上下文中执行。
利用条件与风险
利用需诱导受害者访问特制链接，属于典型钓鱼式攻击场景；成功利用可窃取会话 Cookie、篡改页面内容或实施进一步攻击，实战风险较高。
修复建议
建议升级至 3.4.1 之后的修复版本，具体版本号以厂商公告为准；临时缓解可部署 WAF 过滤恶意参数，并提醒用户勿点击可疑链接。
Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) vulnerability in Mamunur Rashid ShopBuilder – Elementor WooCommerce Builder Addons shopbuilder allows Reflected XSS.This issue affects ShopBuilder – Elementor WooCommerce Builder Addons: from n/a through 3.4.1.