Analityczne wykorzystywanie plików cookies
CVE-2026-15156: Stored XSS w Essential Addons for Elementor do wersji 6.6.11
Luka Stored XSS w Essential Addons for Elementor do wersji 6.6.11 pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 10.23%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Essential Addons for Elementor – Popular Elementor Templates & Widgets dla WordPress zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach globalnego koloru postępu czytania. Luka dotyczy wszystkich wersji do 6.6.11 włącznie i wynika z niewystarczającej sanitacji danych wejściowych oraz braku odpowiedniego escapingu wyjścia.
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Właściciele stron powinni zwrócić uwagę na potencjalne ryzyko dla bezpieczeństwa i integralności witryny.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Przegląd i oczyszczenie istniejących treści może pomóc w usunięciu już wstrzykniętych skryptów.