CVE-2025-1456: luka XSS w wtyczce Royal Elementor Addons dla WordPress

Co wiadomo

Wtyczka Royal Elementor Addons i Templates dla WordPress do wersji 1.7.1012 zawiera lukę typu Stored Cross-Site Scripting (XSS) w metodach widgetGrid, widgetCountDown oraz widgetInstagramFeed. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych, co pozwala użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Royal Elementor Addons i Templates oraz ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie podatnych funkcji. Regularne przeglądy bezpieczeństwa i stosowanie zasad najmniejszych uprawnień pomogą zminimalizować ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference