CVE-2025-5944: podatność Stored Cross-Site Scripting w wtyczce Element Pack dla WordPress

Co wiadomo

Wtyczka Element Pack Addons dla Elementor w WordPress ma podatność Stored Cross-Site Scripting (XSS) w atrybucie 'data-caption' we wszystkich wersjach do 8.0.0 włącznie. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami Contributor mogą eskalować zagrożenie, wpływając na doświadczenie użytkowników i reputację firmy. Operatorzy IT powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Element Pack u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt bezpieczeństwa stron korzystających z tej wtyczki. Priorytetem jest szybkie załatanie luki lub zastosowanie tymczasowych środków ograniczających ekspozycję.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference