CVE-2025-11764CVE-2025-11764是WordPress Shortcodes Bootstrap插件中的一个存储型跨站脚本(XSS)漏洞。该漏洞存在于插件的[notification]短代码中，攻击者可以通过'type'参数注入恶意JavaScript代码。由于插件在处理用户输入时缺少适当的输入 sanitization（消毒）和输出转义（output escaping），导致恶意脚本会被永久存储在数据库中。所有版本 up to and including 1.1 均受影响。攻击者需要具有 contributor 级别或更高的权限即可利用此漏洞。成功利用后，攻击者注入的恶意脚本会在任何用户访问被注入的页面时执行，可能导致会话劫持、凭据窃取、敏感信息泄露等严重后果。此漏洞的CVSS评分为6.4，属于中危级别，攻击向量为网络，认证要求为低权限，无需用户交互即可实施攻击。
该漏洞位于Shortcodes Bootstrap插件的inc/dws_alert.php文件第16行附近。问题根源在于插件的[notification]短代码处理逻辑中，直接将用户可控的'type'参数值输出到HTML页面，而未进行任何输入验证或输出编码。当攻击者以 contributor 或更高权限用户身份创建或编辑文章时，可以在短代码中注入恶意Payload，如：type参数中包含<script>标签或事件处理器（如onerror、onload等）。由于存储型XSS的特性，恶意代码会被永久保存在数据库中，所有访问该页面的用户都会触发恶意脚本执行。攻击者可利用此漏洞窃取管理员Cookie、劫持用户会话、进行钓鱼攻击或修改页面内容。该漏洞的利用前提是攻击者已具备WordPress网站的 contributor 级别账户，认证难度较低。