CVE-2025-8360: Stored XSS w wtyczce LA-Studio Element Kit dla WordPress

Co wiadomo

Wtyczka LA-Studio Element Kit dla Elementor w WordPress do wersji 1.5.5.1 zawiera lukę typu Stored Cross-Site Scripting (XSS) w kilku widgetach, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa witryny. Operatorzy CMS powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LA-Studio Element Kit i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie podatnych widgetów. Regularne audyty bezpieczeństwa i edukacja użytkowników zwiększą ochronę przed tego typu atakami.

Źródła

• NVD
• Reference
• Reference
• Reference