CVE-2025-69092
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność typu DOM-Based XSS w Essential Addons for Elementor (wtyczka WordPress) umożliwia atakującemu manipulację DOM w przeglądarce ofiary. Problem dotyczy wersji do 6.5.3 włącznie.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w kontekście strony, co może prowadzić do kradzieży danych, przejęcia sesji lub phishingu.
Rekomendacja
Zaktualizuj Essential Addons for Elementor do wersji nowszej niż 6.5.3. Zweryfikuj, czy nie używasz niebezpiecznych funkcji przetwarzających dane wejściowe.
Inne podatności w Essential Addons for Elementor
Zobacz wszystkie- CVE-2026-102394Średnie
Wtyczka Essential Addons for Elementor do WordPressa zawiera podatność na Stored XSS (przechowywany skrypt między witrynami) w wersjach do 6.8.4 włącznie. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce administratora lub innego użytkownika.
- CVE-2026-6459Średnie
Wtyczka Essential Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) w widżecie Kalendarza wydarzeń. Podatność występuje we wszystkich wersjach do 6.6.2 włącznie, z powodu niewystarczającego oczyszczania danych wejściowych i wyjściowych dla tytułów wydarzeń pochodzących z The Events Calendar.
- CVE-2026-7665Średnie
Wtyczka Essential Addons for Elementor dla WordPressa w wersjach do 6.6.4 włącznie zawiera podatność na ujawnienie informacji poprzez funkcję ajax_load_more. Niezautoryzowani atakujący mogą wyodrębnić dane z chronionych hasłem, prywatnych lub szkicowych postów.
- CVE-2026-81777Średnie
Podatność polegająca na obejściu uwierzytelniania przez spoofing w WPDeveloper Essential Addons for Elementor umożliwia podszywanie się pod tożsamość. Problem dotyczy wersji od n/a do 6.8.0.
- CVE-2026-13345Średnie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.6.10 nie wykonuje autoryzacji, sprawdzenia statusu ani widoczności podczas rozwiązywania produktów WooCommerce w funkcji porównywania produktów. Pozwala to nieuwierzytelnionym użytkownikom na ujawnienie tytułu, ceny i SKU produktów w wersji roboczej, oczekujących i prywatnych, które w przeciwnym razie są ukryte przed publicznym widokiem.
- CVE-2026-13344Średnie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.6.10 nie waliduje nazwy tagu HTML tytułu widżetu tabeli cen przed jego wyświetleniem. Pozwala to użytkownikom z dostępem na poziomie współautora i wyższym na wstrzyknięcie JavaScript, który zostanie wykonany (Stored Cross-Site Scripting) podczas przeglądania strony, w tym w sesji administratora podglądającego lub odwiedzającego post.
- CVE-2026-15145Średnie
Wtyczka Essential Addons for Elementor dla WordPressa jest podatna na trwałe ataki XSS poprzez widżet Fancy Text we wszystkich wersjach do 6.6.11 włącznie. Podatność wynika z niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów internetowych na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.
- CVE-2026-15156Średnie
Wtyczka Essential Addons for Elementor – Popular Elementor Templates & Widgets dla WordPress jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez ustawienia koloru globalnego Reading Progress we wszystkich wersjach do 6.6.11 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzykiwanie dowolnych skryptów internetowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.
- CVE-2026-15155Wysokie
Wtyczka Essential Addons for Elementor do WordPressa jest podatna na przejęcie konta administratora poprzez wstrzyknięcie nagłówka e-mail. Podatność występuje we wszystkich wersjach do 6.6.10 włącznie i wynika z braku walidacji po stronie serwera ustawienia widżetu logowania/rejestracji, które jest używane do konstruowania nagłówków wychodzących e-maili. Atakujący z dostępem na poziomie Współpracownika lub wyższym może wstrzyknąć nagłówek Bcc, aby otrzymać kopię linku do resetowania hasła administratora i przejąć jego konto.
- CVE-2026-25440Średnie
W wersjach Essential Addons for Elementor poniżej 6.6.0 występuje nieautoryzowany błąd kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in WPDeveloper Essential Addons for Elementor essential-addons-for-elementor-lite allows DOM-Based XSS.This issue affects Essential Addons for Elementor: from n/a through <= 6.5.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS