weDocs WordPress AI 聊天机器人插件——通过块属性的存储型 XSS (CVE-2026-12731 / CVE-2026-12734)

两个存储型 XSS 漏洞 (CVE-2026-12731 和 CVE-2026-12734，均为 CVSS 6.4 中级，于 2026-07-03 发布) 影响 weDocs WordPress 插件（一个 AI 驱动的知识库和聊天机器人插件）至版本 2.3.0。CVE-2026-12731 影响 sectionTitleTag 和 articleTitleTag 块属性；CVE-2026-12734 影响 connectorWidth 块属性。两者在 render.php 中输出前的清理都不充分，允许具有贡献者角色或更高角色的已认证攻击者注入在管理员浏览器中执行的持久化 JavaScript。

weDocs 为面向客户的 WordPress 网站提供由 LLM 驱动的 AI 聊天机器人功能。可由贡献者级别用户（编辑工作流中的常见角色）利用的存储型 XSS 可导致管理员会话劫持、网站接管以及对嵌入式 AI 聊天机器人的系统提示或连接的 API 密钥的操纵——可能重定向聊天机器人响应或泄露对话数据。

已认证的贡献者提交包含 sectionTitleTag、articleTitleTag 或 connectorWidth 属性中恶意 JavaScript 的 WordPress 块；有效载荷被存储并在任何管理员查看页面时在其浏览器中执行。

weDocs WordPress 插件 ≤ 2.3.0

将 weDocs 插件更新至 2.3.0 之后的版本，应用清理修复。参考：https://plugins.trac.wordpress.org/browser/wedocs/tags/2.3.0/assets/build/blocks/Sidebar/render.php