CVE-2025-12537: Stored Cross-Site Scripting w wtyczce Addon Elements for Elementor

Co wiadomo

Wtyczka Addon Elements for Elementor dla WordPressa do wersji 1.14.3 zawiera lukę typu Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji i escapowania danych wejściowych w wielu parametrach widgetów. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na wykonanie złośliwego kodu JavaScript w przeglądarce użytkowników odwiedzających strony z podatnymi widgetami, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych ataków na użytkowników i administratorów. Organizacje korzystające z tej wtyczki powinny traktować tę podatność jako istotne ryzyko dla bezpieczeństwa witryny i danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Addon Elements for Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference