CVE-2025-8867: Stored Cross-Site Scripting w wtyczce Graphina - Elementor Charts and Graphs

Co wiadomo

Wtyczka Graphina - Elementor Charts and Graphs dla WordPress w wersji 3.1.3 i starszych jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametry widgetów wykresów. Luka wynika z niewystarczającej sanitizacji i escapingu danych wejściowych, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z odpowiednimi uprawnieniami mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub dalszych ataków na użytkowników. W środowiskach biznesowych może to skutkować utratą zaufania klientów oraz naruszeniem bezpieczeństwa danych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Graphina i rozważyć aktualizację do najnowszej dostępnej wersji zawierającej poprawki bezpieczeństwa. W przypadku braku dostępnej aktualizacji zaleca się ograniczenie dostępu użytkowników do poziomu niepozwalającego na edycję widgetów wykresów, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie i filtrowanie danych wejściowych w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference