CVE-2026-94641 UsersWP 反射型跨站脚本漏洞
影响攻击者可诱导用户触发反射型 XSS，窃取会话或执行恶意脚本
AI 研判
UsersWP 插件在网页生成过程中未正确中和用户输入，存在反射型跨站脚本（XSS）漏洞。该问题影响 UsersWP 1.2.73 及之前版本，攻击者可构造恶意链接诱导受害者点击，从而在受害者浏览器中执行任意脚本。
影响范围
UsersWP
UsersWP 插件 1.2.73 及之前版本（from n/a through 1.2.73）。
漏洞详情
漏洞类型为反射型跨站脚本（Reflected XSS），成因是插件在生成页面时未对用户可控输入进行充分的转义或过滤。攻击者可将恶意脚本嵌入请求参数并构造链接，受害者访问后脚本即在页面上下文中执行。
利用条件与风险
利用需诱导受害者点击特制链接，属于典型社工触发场景；成功利用可窃取 Cookie、会话令牌或冒充用户操作，实战风险较高。
修复建议
建议升级 UsersWP 至 1.2.73 之后的修复版本；若暂无可用更新，可对输入进行严格过滤与输出转义，并部署 WAF 拦截 XSS 载荷。具体修复版本以官方公告为准。
原始情报
Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) vulnerability in Stiofan UsersWP userswp allows Reflected XSS.This issue affects UsersWP: from n/a through 1.2.73.