CVE-2026-8613: Stored Cross-Site Scripting w wtyczce aThemes Addons for Elementor

Co wiadomo

Wtyczka aThemes Addons for Elementor do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez ustawienie 'title_tag' w widżetach Posts Timeline i Posts Carousel we wszystkich wersjach do 1.1.8 włącznie. Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współpracownika lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkownika, defraudacji danych lub innych działań szkodliwych dla witryny i jej użytkowników. Właściciele stron korzystających z tych widżetów powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki aThemes Addons for Elementor i jej instalację, jeśli jest dostępna. W międzyczasie ogranicz dostęp użytkowników do poziomu współpracownika lub wyższego oraz przeglądaj logi pod kątem podejrzanej aktywności. Warto również rozważyć tymczasowe wyłączenie podatnych widżetów Posts Timeline i Posts Carousel, aż do załatania luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference