Luka XSS w wtyczce Exclusive Addons for Elementor (CVE-2025-7498)

Co wiadomo

Wtyczka Exclusive Addons for Elementor do WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez widget Countdown we wszystkich wersjach do 2.7.9.4 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki danych wyjściowych, co pozwala atakującym z uprawnieniami co najmniej na poziomie Współpracownika na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie Współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron opartych na WordPress z tą wtyczką powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Exclusive Addons for Elementor i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie widgetu Countdown. Regularne przeglądy i audyty bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference