Luka XSS w wtyczce Progress Bar Blocks dla WordPress (CVE-2025-12880)

Co wiadomo

Wtyczka Progress Bar Blocks dla WordPress do wersji 1.0.0 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Luka wynika z niewystarczającej sanitizacji danych wejściowych i braku odpowiedniego escapingu, co pozwala atakującym z uprawnieniami autora na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z poziomem dostępu co najmniej autora mogą wstrzykiwać i wykonywać złośliwe skrypty w kontekście użytkowników odwiedzających strony z załadowanymi plikami SVG. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie ogranicz uprawnienia do przesyłania plików SVG tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji przesyłanych plików.

Źródła

• NVD
• Reference
• Reference