CVE-2025-7845: Wtyczka Stratum – Elementor Widgets narażona na atak Stored XSS

Co wiadomo

Wtyczka Stratum – Elementor Widgets dla WordPressa do wersji 1.6.0 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) w widgetach Advanced Google Maps oraz Image Hotspot. Luka wynika z niewystarczającej sanitizacji i ucieczki danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa swoich serwisów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Stratum – Elementor Widgets i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie podatnych widgetów. Warto również monitorować oficjalne komunikaty producenta wtyczki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference