CVE-2025-8451: Luka XSS w Essential Addons for Elementor do wersji 6.2.2

Co wiadomo

Wtyczka Essential Addons for Elementor dla WordPress zawiera lukę typu DOM-Based Stored Cross-Site Scripting w parametrze 'data-gallery-items' we wszystkich wersjach do 6.2.2 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków, co pozwala użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zmodyfikowanych stron, co może prowadzić do kradzieży danych sesji lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie to wymaga uwagi właścicieli stron opartych na WordPress z tą wtyczką, aby zapobiec potencjalnym naruszeniom bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Essential Addons for Elementor i jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeglądać i weryfikować zawartość stron pod kątem nieautoryzowanych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference