CVE-2025-8609: Stored XSS w wtyczce RTMKit Addons for Elementor dla WordPress

Co wiadomo

Wtyczka RTMKit Addons for Elementor dla WordPress do wersji 1.6.1 zawiera lukę typu Stored Cross-Site Scripting (XSS) w atrybutach bloku Accordion. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy każdym odwiedzeniu zainfekowanej strony, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki RTMKit Addons for Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnych funkcji. Regularna weryfikacja i audyt bezpieczeństwa wtyczek WordPress jest kluczowa.

Źródła

• NVD
• Reference
• Reference
• Reference