CVE-2025-11883: Stored XSS w wtyczce Responsive Progress Bar dla WordPress

Co wiadomo

Wtyczka Responsive Progress Bar dla WordPress w wersjach do 1.0 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode rprogress. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym eskalację uprawnień i wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub dalszych ataków na użytkowników. Operatorzy stron WordPress korzystających z tej wtyczki powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa witryny i jej użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Responsive Progress Bar i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca oraz przeprowadzić przegląd logów pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć tymczasowe wyłączenie shortcode rprogress lub zastąpienie go bezpiecznym rozwiązaniem.

Źródła

• NVD
• Reference
• Reference
• Reference