CVE-2026-94632 BlockStrap Page Builder 反射型 XSS 漏洞
影响攻击者可诱使受害者触发反射型 XSS，执行任意脚本
BlockStrap Page Builder - Bootstrap Blocks 是一款 WordPress 页面构建器插件。该插件在网页生成过程中未对用户输入进行正确中和，导致反射型跨站脚本（XSS）漏洞。攻击者可构造恶意链接，诱导用户点击后在受害者浏览器中执行任意脚本。
影响范围
受影响版本为 BlockStrap Page Builder - Bootstrap Blocks 0.1.58 及之前版本（from n/a through 0.1.58）。
漏洞详情
漏洞类型为反射型跨站脚本（Reflected XSS），成因是插件在生成网页时未对用户可控输入进行充分的转义或过滤。攻击者可将恶意脚本嵌入请求参数并构造特制 URL，受害者访问后脚本即在页面上下文中执行。
利用条件与风险
利用需诱导受害者点击恶意链接，属于需要用户交互的攻击场景；成功利用可窃取会话 Cookie、冒充用户操作或篡改页面内容，实战风险较高。
修复建议
建议升级至 0.1.58 之后的修复版本；若暂无可用更新，可对输入进行严格过滤与输出转义，并部署 WAF 拦截可疑 XSS 载荷。具体修复版本请以官方公告为准。
Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) vulnerability in Stiofan BlockStrap Page Builder – Bootstrap Blocks blockstrap-page-builder-blocks allows Reflected XSS.This issue affects BlockStrap Page Builder – Bootstrap Blocks: from n/a through 0.1.58.