Analityczne wykorzystywanie plików cookies
CVE-2025-4774: podatność w Premium Addons for Elementor
Podatność XSS w Premium Addons for Elementor umożliwia wstrzyknięcie skryptów przez użytkowników z uprawnieniami współpracownika i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 12.42%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- premium addons for elementor
Co wiadomo
Wtyczka Premium Addons for Elementor dla WordPressa jest podatna na trwały Cross-Site Scripting (XSS) poprzez atrybut data-countdown widgetu Countdown we wszystkich wersjach do 4.11.8 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia atakującym z dostępem współpracownika lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, deface’u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Operatorzy CMS powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków wewnętrznych i narażenia użytkowników końcowych.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Premium Addons for Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie podatnego widgetu. Regularne przeglądy i audyty bezpieczeństwa wtyczek są kluczowe.