CVE-2026-11390: Stored XSS w wtyczce News Kit Addons For Elementor dla WordPress

Co wiadomo

Wtyczka News Kit Addons For Elementor do WordPressa do wersji 1.4.6 zawiera lukę typu Stored Cross-Site Scripting w widgetach Site Logo Title i Single Author Box. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków, umożliwiając atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać i wykonywać złośliwe skrypty w kontekście strony, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie to wymaga uwagi administratorów stron korzystających z tej wtyczki, aby zapobiec potencjalnym incydentom bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki News Kit Addons For Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć dodatkowe zabezpieczenia warstwy aplikacji. Warto również przeprowadzić audyt i przegląd konfiguracji zabezpieczeń WordPressa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference