CVE-2025-12837: Stored XSS w wtyczce aThemes Addons for Elementor do WordPress

Co wiadomo

Wtyczka aThemes Addons for Elementor do WordPress w wersjach do 1.1.5 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez widget Call To Action. Problem wynika z niewystarczającej sanitizacji i ucieczki danych wejściowych dostarczanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron powinni zwrócić uwagę na potencjalne ryzyko naruszenia bezpieczeństwa i danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki aThemes Addons for Elementor do najnowszej wersji, w której problem został załatany. W przypadku braku dostępnej poprawki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających, takich jak Web Application Firewall.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference