CVE-2025-3075: podatność Stored Cross-Site Scripting w wtyczce Elementor Website Builder

Co wiadomo

Wtyczka Elementor Website Builder dla WordPress do wersji 3.29.0 zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode 'elementor-element', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony, pod warunkiem, że włączona jest opcja 'Element Caching'.

Wpływ biznesowy

Ta luka umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla witryny i jej użytkowników. Zagrożenie dotyczy tylko stron z aktywnym 'Element Caching', jednak w środowiskach CMS może to znacząco wpłynąć na bezpieczeństwo i reputację firmy.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Elementor i zaktualizować ją do najnowszej dostępnej wersji po wydaniu poprawki przez producenta. W międzyczasie zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, wyłączenie opcji 'Element Caching' jeśli to możliwe, oraz monitorowanie logów pod kątem podejrzanych aktywności związanych z wstrzyknięciami skryptów.

Źródła

• NVD
• Reference
• Reference