CVE-2025-9077: Stored Cross-Site Scripting w wtyczce Ultra Addons Lite dla Elementor

Co wiadomo

Wtyczka Ultra Addons Lite dla Elementor w wersji 1.1.9 i starszych zawiera lukę typu Stored Cross-Site Scripting w polu 'Animated Text' widgetu Typeout, umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwych skryptów na stronach.

Wpływ biznesowy

Luka pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych ataków na użytkowników. Operatorzy stron WordPress korzystający z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności witryny oraz danych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ultra Addons Lite dla Elementor i jej zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnego widgetu. Warto również przeprowadzić przegląd zabezpieczeń i edukację użytkowników o potencjalnych zagrożeniach XSS.

Źródła

• NVD
• Reference
• Reference
• Reference