CVE-2025-8874: podatność Stored XSS w wtyczce Master Addons – Elementor Addons

Co wiadomo

Wtyczka Master Addons – Elementor Addons z białą etykietą, darmowymi widgetami i animacjami dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) w wersjach do 2.0.8.6 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co umożliwia atakującym z uprawnieniami co najmniej na poziomie Współpracownika wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala na wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika odwiedzającego zainfekowaną stronę. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Operatorzy stron opartych na WordPress z tą wtyczką powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i prywatności.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu Contributor i wyżej oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd konfiguracji i zabezpieczeń serwisu, aby zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference