CVE-2025-7644: Pixel Gallery Addons dla Elementor narażone na Stored XSS

Co wiadomo

Wtyczka Pixel Gallery Addons dla Elementor w wersjach do 1.6.7 włącznie posiada lukę Stored Cross-Site Scripting (XSS) w URL-ach wszystkich widgetów, wynikającą z niewystarczającej sanitacji i ucieczki danych. Umożliwia to atakującym z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Administratorzy stron opartych na WordPress z tą wtyczką powinni potraktować problem poważnie, zwłaszcza jeśli dostęp do panelu mają użytkownicy z uprawnieniami Contributor lub wyższymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Pixel Gallery Addons dla Elementor i ich instalację. W międzyczasie ogranicz dostęp użytkowników do poziomu Contributor i wyższego, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Regularnie przeglądaj i aktualizuj polityki bezpieczeństwa CMS.

Źródła

• NVD
• Reference
• Reference