CVE-2025-11764: Stored XSS w wtyczce Shortcodes Bootstrap dla WordPress

Co wiadomo

Wtyczka Shortcodes Bootstrap dla WordPress do wersji 1.1 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr 'type' w shortcode [notification]. Brak odpowiedniej sanitizacji i escapingu umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę IT. Zagrożenie to wymaga uwagi administratorów WordPressa korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Shortcodes Bootstrap i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem wstrzykniętych skryptów oraz edukować użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference