CVE-2025-6550: podatność Stored XSS w wtyczce The Pack Elementor Addons

Co wiadomo

Wtyczka The Pack Elementor Addons dla WordPressa do wersji 2.1.4 włącznie zawiera podatność Stored Cross-Site Scripting w parametrze 'slider_options' z powodu niewystarczającej sanitacji danych wejściowych i braków w escapowaniu wyjścia. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta stanowi zagrożenie dla bezpieczeństwa witryn opartych na WordPress z zainstalowaną wtyczką The Pack Elementor Addons, pozwalając na wykonanie złośliwego kodu w kontekście przeglądarki użytkownika. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub dalszych ataków na użytkowników. Operatorzy powinni zwrócić uwagę na poziom uprawnień użytkowników oraz potencjalne ryzyko wynikające z tej luki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, szczególnie poziomu Contributor i wyżej. Dodatkowo należy monitorować logi pod kątem podejrzanych działań i rozważyć zastosowanie mechanizmów zabezpieczających przed XSS, takich jak Web Application Firewall.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference