Luka XSS w wtyczce Reuse Builder dla WordPress (CVE-2025-11812)

Co wiadomo

Wtyczka Reuse Builder dla WordPress do wersji 1.7 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'reuse_builder_single_post_title'. Luka wynika z niewystarczającej sanitacji i escapingu atrybutu 'style', co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Reuse Builder i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem wstrzykniętych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference