广泛使用的WordPress页面构建器WPBakery插件近日发布安全公告。该漏洞允许经身份验证的攻击者注入恶意脚本，当用户访问受影响页面时脚本将自动执行。由于WPBakery常捆绑于数千个WordPress主题中，此次安全风险波及范围较广。
WPBakery插件概述
WPBakery是一款主流的WordPress拖放式页面构建器，支持用户无需代码即可创建自定义布局与网站。因其易用性，众多高级主题开发者通过授权将其集成至主题中，作为核心功能提供给终端用户。
安全漏洞详情及修复建议
经检测，WPBakery Page Builder插件的“自定义JS”模块存在输入清理不足和输出转义缺失问题。这两项安全机制是防止跨站脚本（XSS）和SQL注入等攻击的关键防线：
- 输入清理：在数据存储或处理前过滤用户上传内容；
- 输出转义：将HTML特殊字符转换为安全形式后再渲染，防止可执行代码被浏览器解析。
受此缺陷影响，拥有贡献者及以上权限的攻击者可向网站注入任意脚本。该漏洞波及WPBakery 8.6.1及以下所有版本。官方已发布修复补丁，建议用户立即更新至最新版本8.7以消除安全隐患。