CVE-2025-11883CVE-2025-11883是WordPress Responsive Progress Bar插件中存在的一个存储型跨站脚本（Stored XSS）漏洞。该插件是一款用于在WordPress网站中创建响应式进度条的实用工具，通过短代码（shortcode）方式在页面中嵌入进度条组件。该漏洞由Wordfence安全团队的安全研究员发现并报告，CVSS评分为6.4分，属于中危级别。
该漏洞的根本原因在于插件对用户通过短代码属性（rprogress shortcode attributes）传入的参数缺乏充分的输入净化（input sanitization）和输出转义（output escaping）处理。攻击者可以利用这一缺陷，将恶意的JavaScript脚本代码作为短代码属性的值注入到页面内容中。由于该漏洞属于存储型XSS，恶意脚本会被持久化存储在WordPress数据库中，每当普通用户访问包含恶意短代码的页面时，恶意脚本就会自动执行。
成功利用此漏洞的攻击者可以在受害者的浏览器上下文中执行任意JavaScript代码，可能导致用户会话劫持、敏感信息窃取（如Cookie、表单数据等）、钓鱼攻击、恶意重定向，甚至在管理员权限被劫持后进一步控制整个WordPress站点。由于WordPress广泛应用于各类网站，包括企业门户、电子商务平台和个人博客，该漏洞的影响范围不容忽视。
该漏洞存在于Responsive Progress Bar插件的rprogress短代码处理逻辑中。在WordPress插件开发中，短代码（shortcode）允许用户通过简短的标记在文章或页面中嵌入动态内容。Responsive Progress Bar插件注册了名为rprogress的短代码，该短代码接受多个用户自定义属性（如宽度、高度、颜色等）来控制进度条的显示效果。
漏洞的技术原理如下：
1. **输入处理缺陷**：插件在处理短代码属性时，未对用户提供的属性值进行充分的输入验证和净化处理。例如，未使用WordPress提供的sanitize_text_field()、esc_attr()、esc_html()等安全函数对输入进行过滤。
2. **输出转义缺失**：在将用户输入的属性值渲染到HTML页面时，插件未对输出进行适当的转义处理（如使用esc_attr()、esc_html()等函数），导致恶意脚本代码可以直接注入到最终的HTML输出中。
3. **存储型XSS机制**：由于短代码内容通常存储在WordPress的文章或页面数据库记录中，攻击者注入的恶意脚本会被持久化保存。任何后续访问该页面的用户，其浏览器都会解析并执行该恶意脚本。
4. **权限要求**：漏洞利用需要攻击者至少拥有Contributor（投稿者）级别的WordPress账户权限。虽然这降低了攻击的门槛，但在多用户WordPress站点或允许用户注册的站点中，这一权限要求并不构成有效的防护。
攻击者可以通过在文章编辑器中插入类似[rprogress malicious_attr="<script>alert('XSS')</script>"]的短代码来触发漏洞。当页面被渲染时，恶意脚本将在所有访问者的浏览器中执行。