Analityczne wykorzystywanie plików cookies
CVE-2026-6459: Stored XSS w Essential Addons for Elementor przez widget Event Calendar
Podatność Stored XSS w Essential Addons for Elementor do WordPressa umożliwia atakującym wstrzykiwanie złośliwych skryptów przez widget Event Calendar.
- CVSS
- 6.4 MEDIUM
- EPSS
- 7.99%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Essential Addons for Elementor – Popular Elementor Templates & Widgets do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez widget Event Calendar w wersjach do 6.6.2 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu tytułów wydarzeń pochodzących z The Events Calendar.
Wpływ biznesowy
Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie odpowiednich środków zabezpieczających jest kluczowe dla ochrony środowiska WordPress.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Essential Addons for Elementor i ich instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu autora i wyższego, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie widgetu Event Calendar. Regularne przeglądy bezpieczeństwa i minimalizacja uprawnień użytkowników pomogą ograniczyć ryzyko.