CVE-2025-2108: Xpro Addons For Elementor – podatność Stored XSS w widżecie Site Title

Co wiadomo

Wtyczka 140+ Widgets | Xpro Addons For Elementor – FREE dla WordPress do wersji 1.4.6.8 zawiera podatność typu Stored Cross-Site Scripting (XSS) w parametrach 'title_tag' i 'html_tag' widżetu 'Site Title'. Atakujący z uprawnieniami co najmniej Contributor mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom o uprawnieniach Contributor i wyższych wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wykorzystanie tej luki może wpłynąć na bezpieczeństwo witryny oraz zaufanie klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnych widżetów. Regularna weryfikacja i stosowanie najlepszych praktyk bezpieczeństwa WordPress jest kluczowa.

Źródła

• NVD
• Reference
• Reference
• Reference