Analytical use of cookies
Уразливість Stored XSS у плагіні X Addons для Elementor (CVE-2025-9204)
Виявлено Stored XSS у плагіні X Addons для Elementor WordPress через поле Youtube Video ID. Рекомендується оновлення та обмеження доступу.
- CVSS
- 6.4 MEDIUM
- EPSS
- 13.35%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін X Addons для Elementor у WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через поле Youtube Video ID у версіях до 1.0.16 включно. Недостатня санітизація введення дозволяє користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.
Бізнес-вплив
Уразливість може призвести до виконання довільних скриптів у браузерах користувачів, що відкриває шлях до крадіжки сесій, фішингу або інших атак. Для власників сайтів на WordPress із цим плагіном це підвищує ризик компрометації даних і зниження довіри користувачів. Вразливість має середній рівень критичності, тому її слід враховувати у пріоритетах безпеки.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна X Addons та встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, особливо для ролей контриб'ютора і вище. Також варто провести аудит журналів доступу на предмет підозрілої активності та розглянути тимчасове відключення функції введення Youtube Video ID до усунення проблеми.