CVE-2025-0321: podatność DOM-Based Stored XSS w ElementsKit Pro dla WordPress

Co wiadomo

Wtyczka ElementsKit Pro dla WordPress do wersji 3.7.8 włącznie zawiera podatność DOM-Based Stored Cross-Site Scripting (XSS) poprzez parametr 'url'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami Contributor lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Może to narazić infrastrukturę na utratę zaufania użytkowników oraz potencjalne naruszenia bezpieczeństwa danych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki ElementsKit Pro i zastosować najnowszą wersję dostarczoną przez producenta. W przypadku braku natychmiastowej aktualizacji zaleca się ograniczenie uprawnień użytkowników do minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie i filtrowanie parametrów wejściowych, zwłaszcza 'url'.

Źródła

• NVD
• Reference
• Reference
• Reference