CVE-2025-14149: Xpro Addons dla Elementor narażony na przechowywany XSS

Co wiadomo

Wtyczka Xpro Addons — 140+ Widgets dla Elementor w WordPress ma lukę przechowywanego Cross-Site Scripting (XSS) w atrybucie linku widgetu Image Scroller we wszystkich wersjach do 1.4.24 włącznie. Luka wynika z niewystarczającej sanitacji i eskapowania danych wejściowych, umożliwiając atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się u użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Xpro Addons i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów ochrony przed XSS oraz przegląd i oczyszczenie istniejących danych wprowadzonych przez użytkowników.

Źródła

• NVD
• Reference
• Reference