CVE-2025-14163
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Premium Addons for Elementor dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 4.11.53 włącznie. Brak walidacji nonce w funkcji 'insert_inner_template' umożliwia nieuwierzytelnionym atakującym tworzenie dowolnych szablonów Elementor poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora lub użytkownika z uprawnieniami edit_posts do wykonania akcji, np. kliknięcia linku.
Ocena ryzyka
Atakujący może wykorzystać CSRF do zmiany konfiguracji szablonów, co może prowadzić do wstrzyknięcia złośliwej treści lub dalszych ataków. Wymaga to interakcji użytkownika z odpowiednimi uprawnieniami.
Rekomendacja
Zaktualizuj wtyczkę Premium Addons for Elementor do wersji nowszej niż 4.11.53. Dodatkowo zaleca się wdrożenie ochrony przed CSRF, np. poprzez weryfikację tokenów.
Inne podatności w Premium Addons for Elementor
Zobacz wszystkie- CVE-2026-62078Średnie
Podatność Cross Site Scripting (XSS) w wtyczce Premium Addons for Elementor w wersjach do 4.11.105. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony.
- CVE-2026-109890Średnie
Wtyczka Premium Addons for Elementor zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.11.110.
- CVE-2026-108490Średnie
Wtyczka Premium Addons for Elementor do wersji 4.11.110 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu wstrzyknięcie złośliwego skryptu, który będzie wykonywany w przeglądarce innych użytkowników.
- CVE-2026-108482Średnie
Wtyczka Premium Addons for Elementor (LeapWorx) zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od n/a do 4.11.110.
- CVE-2026-103084Średnie
Wtyczka Premium Addons for Elementor do WordPressa zawiera podatność na Stored XSS (trwały cross-site scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 4.11.109 włącznie.
- CVE-2026-94168Średnie
Podatność Cross Site Scripting (XSS) w wtyczce Premium Addons for Elementor w wersjach do 4.11.105 włącznie. Podatność może być wykorzystana przez użytkownika z uprawnieniami Contributor.
- CVE-2026-12141Średnie
Wtyczka Premium Addons for Elementor do WordPressa jest podatna na przechowywane ataki XSS poprzez parametr 'premium_tooltip_text' w wersjach do 4.11.84 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym na wstrzykiwanie dowolnych skryptów.
- CVE-2025-68494Średnie
Wtyczka Premium Addons for Elementor (Leap13) w wersjach do 4.11.53 włącznie jest podatna na ujawnienie wrażliwych informacji systemowych nieuprawnionemu podmiotowi, co pozwala na odzyskanie osadzonych wrażliwych danych.
- CVE-2025-14155Średnie
Wtyczka Premium Addons for Elementor dla WordPress w wersjach do 4.11.53 włącznie jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji 'get_template_content'. Umożliwia to nieuwierzytelnionym atakującym przeglądanie zawartości prywatnych, roboczych i oczekujących szablonów.
Oryginalny opis (angielski, źródło NVD)
The Premium Addons for Elementor plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 4.11.53. This is due to missing nonce validation in the 'insert_inner_template' function. This makes it possible for unauthenticated attackers to create arbitrary Elementor templates via a forged request granted they can trick a site administrator or other user with the edit_posts capability into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS