CVE-2025-13977: Stored XSS w Essential Addons for Elementor do wersji 6.5.3

Co wiadomo

Wtyczka Essential Addons for Elementor – Popular Elementor Templates & Widgets dla WordPress jest podatna na przechowywany Cross-Site Scripting (XSS) w wersjach do 6.5.3 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i nieprawidłowego escapingu w obsłudze atrybutów widgetu Event Calendar oraz renderowaniu ID elementu w module Image Masking.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy (Contributor) mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Wdrożenie tej wtyczki w środowisku produkcyjnym bez aktualizacji zwiększa ryzyko naruszeń bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Essential Addons for Elementor i jej instalację. W przypadku braku natychmiastowej aktualizacji należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie podatnych funkcji. Regularne przeglądy i testy bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference