CVE-2026-15787: Stored Cross-Site Scripting w wtyczce Ultimate Addons for Elementor

Co wiadomo

Wtyczka Ultimate Addons for Elementor dla WordPressa do wersji 2.9.1 zawiera lukę umożliwiającą atak Stored Cross-Site Scripting poprzez atrybuty data-toggle-icon i data-close-icon w widżecie menu nawigacji. Luka wynika z niewystarczającej sanitacji danych i pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Właściciele stron powinni zwrócić uwagę na potencjalne ryzyko związane z tą luką, szczególnie w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ultimate Addons for Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Warto także rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference