WordPress 的 Prismatic 插件在 'prismatic_encoded' 伪短代码中存在存储型跨站脚本漏洞，影响所有版本，包括 3.7.3 及更早版本。这是由于在 'prismatic_decode' 函数中对用户提供的属性的输入 sanitization 和输出 escaping 不足造成的。这使得未经身份验证的攻击者可以通过提交包含制作精良的 'prismatic_encoded' 伪短代码的评论，在页面中注入任意的 Web 脚本，并在用户访问注入页面时执行。

该 XSS 漏洞允许未经身份验证的攻击者在 WordPress 网站的页面上注入并执行任意 JavaScript 代码。攻击者可以利用此漏洞窃取用户会话 Cookie，执行恶意操作，或重定向用户到恶意网站。攻击的影响范围取决于网站的访问量和用户权限。如果网站包含敏感信息或用户账户，该漏洞可能导致严重的数据泄露和安全风险。由于漏洞利用相对简单，且无需身份验证，因此存在被大规模利用的风险。

Websites using the Prismatic WordPress plugin, especially those with public comment sections or forums, are at risk. Shared hosting environments where multiple WordPress sites share the same server resources are particularly vulnerable, as a compromise on one site could potentially impact others.

• wordpress / composer / npm:

grep -r 'prismatic_encoded' /var/www/html/wp-content/plugins/prismatic/

• wordpress / composer / npm:

wp plugin list | grep prismatic

• wordpress / composer / npm:

wp plugin update prismatic

• generic web: Inspect comment fields for suspicious shortcode usage, particularly those containing encoded characters.

1. 2026-04-16Disclosure

   disclosure

1. 已保留2026-03-10
2. 发布日期2026-04-16
3. 修改日期2026-04-22
4. EPSS 更新日期2026-04-23

最有效的缓解措施是立即将 Prismatic WordPress 插件升级至 3.7.4 或更高版本。如果无法立即升级，可以考虑禁用 Prismatic 插件，或限制 'prismaticencoded' 伪短代码的使用。此外，可以实施 Web 应用防火墙 (WAF) 规则，以检测和阻止包含恶意 'prismaticencoded' 伪短代码的请求。定期审查 WordPress 插件的安全更新，并及时应用补丁，以降低潜在的安全风险。