CVE-2025-11753: podatność Stored XSS w wtyczce Bootstrap Multi-language Responsive Portfolio dla WordPress

Co wiadomo

Wtyczka Bootstrap Multi-language Responsive Portfolio dla WordPress do wersji 1.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez ustawienia administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Dotyczy to instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Wykorzystanie tej luki wymaga uprawnień administratora, co ogranicza ryzyko, ale nadal stanowi poważne zagrożenie dla środowisk WordPress z tą wtyczką.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki i rozważyć jej aktualizację lub zastosowanie dostępnych poprawek od dostawcy. Zaleca się także ograniczenie uprawnień administratorów, przegląd logów pod kątem podejrzanych działań oraz wprowadzenie dodatkowych mechanizmów filtrowania i sanitacji danych wejściowych. W przypadku braku dostępnych aktualizacji należy rozważyć tymczasowe wyłączenie wtyczki w środowiskach wielostanowiskowych.

Źródła

• NVD
• Reference
• Reference
• Reference