事件经过
CVE-2026-109985（CWE-79，CVSS 6.4）是 xSpeed AI/MCP 缓存插件中的存储型跨站脚本漏洞：贡献者级别用户可以注入任意脚本，在访问页面的用户上下文中执行。
影响分析
这是一个 AI/MCP 相关的 WordPress 插件；存储型脚本可被用来劫持管理 AI 缓存/MCP 配置及插件处理的任何提供者凭证的管理员会话，将内容级 XSS 升级为管理员级影响。
攻击途径
具有贡献者级别访问权限的已认证攻击者通过“content”参数注入任意 Web 脚本，原因是输入清理/输出编码不足；当任何用户访问注入页面时，存储型 XSS 触发。
受影响系统
xSpeed Cache: AI-Powered Performance Hub with MCP, Caching & CDN（wpdevteam）1.4.2 及以下版本
缓解措施
应用修补后的变更集（WordPress 插件 trac 变更集 3749755）/升级至 1.4.2 以上版本。