TablePress WordPress 插件存在安全漏洞，攻击者可利用该漏洞注入恶意脚本。当用户访问被入侵页面时，脚本将自动执行。该漏洞影响 3.2 版及更早的所有版本。
TablePress 插件概况
TablePress 是一款广泛应用于超过 70 万个网站的 WordPress 插件，支持创建和管理具备排序、分页及搜索等交互功能的表格。
漏洞成因分析
该漏洞源于插件在处理 shortcode_debug 参数时，缺乏必要的输入清理和输出转义机制。Wordfence 安全团队指出：“WordPress TablePress 插件在 3.2 版及更早版本中，因输入清理和输出转义不足，存在通过‘shortcode_debug’参数触发的存储型跨站脚本（Stored XSS）漏洞。”
输入清理缺失
输入清理旨在过滤表单或字段中的用户提交内容，以拦截恶意脚本等有害输入。TablePress 未能完全落实这一关键安全措施。
输出转义不足
输出转义用于过滤网站向浏览器输出的内容，防止字符被解析为可执行代码。由于 TablePress 同时缺失有效的输入清理与输出转义防护，攻击者上传的恶意脚本会被存储并在页面加载时运行，从而构成存储型 XSS 攻击。
值得注意的是，触发此漏洞需要贡献者及以上权限，这在一定程度上限制了攻击面。建议所有 TablePress 用户立即将插件更新至 3.2.1 或更高版本，以修复该安全隐患。