CVE-2025-0433: podatność Stored XSS w wtyczce Master Addons dla WordPress

Co wiadomo

Wtyczka Master Addons – Elementor Addons z funkcjami White Label, darmowymi widgetami, efektami hover, warunkami i animacjami dla WordPress jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'id' we wszystkich wersjach do 2.0.7.1 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współpracownika (Contributor) mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Master Addons i jej aktualizację do najnowszej wersji. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników do minimum, szczególnie poziomu Contributor i wyżej, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference