CVE-2026-96332 Simple Payment 反射型 XSS 漏洞

Simple Payment 是一款 WordPress 支付插件，在网页生成过程中未正确中和用户输入，导致反射型跨站脚本漏洞。该问题影响 Simple Payment 2.5.4 及之前版本。

影响范围

Simple Payment

Simple Payment 插件，版本范围从 n/a 至 2.5.4（含 2.5.4）。

漏洞详情

漏洞类型为反射型跨站脚本（Reflected XSS），成因是插件在生成页面时未对用户可控输入进行充分的转义或过滤。攻击者可将恶意脚本构造在请求参数中，诱导受害者点击特制链接，脚本随即在受害者浏览器上下文中执行。

利用条件与风险

利用需诱导受害者访问恶意构造的链接，属于典型社工触发场景；成功利用可窃取 Cookie、会话令牌或冒充用户操作，实战风险中等偏高。

修复建议

建议升级至 Simple Payment 2.5.4 之后的修复版本；若暂无可用更新，可临时禁用该插件或对相关输入参数进行严格过滤与输出转义。

Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) vulnerability in yalla ya! Simple Payment simple-payment allows Reflected XSS.This issue affects Simple Payment: from n/a through 2.5.4.