CVE-2026-5159: Stored Cross-Site Scripting w wtyczce Royal Addons for Elementor

Co wiadomo

Wtyczka Royal Addons for Elementor dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez ustawienie 'instagram_follow_text' w widżecie Instagram Feed. Luka dotyczy wersji do 1.7.1056 włącznie i wynika z niewystarczającej sanitacji danych wejściowych oraz braku odpowiedniego escapingu wyjścia.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie Współautora mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez użytkowników. Wymaga to jednak wcześniejszej konfiguracji widżetu Instagram Feed przez administratora z ważnym tokenem dostępu. Luka może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Royal Addons for Elementor i ich zastosowanie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, zweryfikować konfigurację widżetu Instagram Feed oraz monitorować logi pod kątem podejrzanej aktywności. Priorytetowo traktuj przegląd i aktualizację zabezpieczeń wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference