CVE-2025-13535
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka King Addons for Elementor dla WordPressa jest podatna na wiele podatności Stored Cross-Site Scripting (XSS) w wersjach do 51.1.38 włącznie. Podatność wynika z niedostatecznego sanitizacji wejścia i braku odpowiedniego kodowania wyjścia w wielu widgetach i funkcjach. Atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę lub gdy administrator podgląda stronę w edytorze Elementora.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników, wykraść dane lub przeprowadzić ataki phishingowe w kontekście zaufanej witryny.
Rekomendacja
Zaktualizuj wtyczkę King Addons for Elementor do wersji 5.1.51 lub nowszej, która zawiera częściową poprawkę.
Inne podatności w King Addons for Elementor
Zobacz wszystkie- CVE-2026-97298Średnie
Wtyczka King Addons for Elementor w wersjach do 51.1.86 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.
- CVE-2026-96835Średnie
Podatność Cross Site Scripting (XSS) w wtyczce King Addons for Elementor do wersji 51.1.85 włącznie. Użytkownik z rolą kontrybutora może wstrzykiwać złośliwe skrypty.
- CVE-2026-66575Średnie
Wtyczka King Addons for Elementor w wersjach do 51.1.81 włącznie zawiera podatność typu Insecure Direct Object References (IDOR). Nieuwierzytelniony atakujący może uzyskać dostęp do obiektów, do których nie powinien mieć dostępu.
- CVE-2026-84904Niskie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza kontroli autoryzacji per obiekt dla grupy akcji optymalizacji obrazów, opierając się tylko na ogólnej zdolności, którą mają również użytkownicy o niższych uprawnieniach, i nie potwierdza własności docelowego obiektu, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie autora i wyżej na ujawnianie bezwzględnych ścieżek plików, nadpisywanie bajtów oraz ponowne odwoływanie się w całej witrynie do multimediów należących do innych użytkowników, w tym administratorów.
- CVE-2026-84903Niskie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza żadnych kontroli uprawnień, statusu wpisu ani hasła przed renderowaniem treści wpisu dostarczonego przez użytkownika, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na czytanie treści prywatnych, szkiców, oczekujących i chronionych hasłem wpisów, do których nie są upoważnieni.
- CVE-2026-84902Średnie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza kontroli autoryzacji na poziomie obiektu podczas importowania treści szablonu do strony, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na nadpisywanie treści Elementor dowolnych wpisów i stron, w tym należących do administratorów, oraz na wstrzykiwanie JavaScript przez ustawienie widgetu, które jest wyprowadzane bez escapowania, co prowadzi do Stored Cross-Site Scripting wykonującego się w sesji każdego użytkownika odwiedzającego dotkniętą stronę.
- CVE-2026-84896Średnie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.77 nie escapuje ustawienia stylu wyświetlania widgetu przed wypisaniem go w atrybucie HTML, umożliwiając użytkownikom z rolą współautora lub wyższą przechowywanie JavaScriptu, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym zalogowanych administratorów.
- CVE-2026-15284Średnie
Wtyczka King Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'form_page_id' w wersjach do 51.1.62 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych w funkcji add_to_submissions() oraz braku odpowiedniego kodowania wyjścia w funkcji king_addons_submissions_custom_column_content().
- CVE-2026-48870Średnie
Wtyczka King Addons dla Elementor w wersjach do 51.1.62 zawiera podatność typu Cross Site Scripting (XSS) dla subskrybentów.
- CVE-2025-7960Średnie
Wtyczka King Addons for Elementor dla WordPressa do wersji 51.1.39 włącznie zawiera podatność na przechowywany skrypt typu Cross-Site Scripting (XSS) w widgetach Pricing Slider, Pricing Calculator i Image Accordion. Wynika to z niewystarczającej sanityzacji wejścia i braku odpowiedniego escapowania wyjścia dla atrybutów dostarczanych przez użytkownika.
Oryginalny opis (angielski, źródło NVD)
The King Addons for Elementor plugin for WordPress is vulnerable to multiple Contributor+ DOM-Based Stored Cross-Site Scripting vulnerabilities in all versions up to, and including, 51.1.38. This is due to insufficient input sanitization and output escaping across multiple widgets and features. The plugin uses esc_attr() and esc_url() within JavaScript inline event handlers (onclick attributes), which allows HTML entities to be decoded by the DOM, enabling attackers to break out of the JavaScript context. Additionally, several JavaScript files use unsafe DOM manipulation methods (template literals, .html(), and window.location.href with unvalidated URLs) with user-controlled data. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts via Elementor widget settings that execute when a user accesses the injected page or when an administrator previews the page in Elementor's editor. The vulnerability was partially patched in version 5.1.51.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS