CVE-2025-9698
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Plus Addons for Elementor w wersjach przed 6.3.16 nie sanityzuje zawartości plików SVG, co może pozwolić użytkownikom z minimalną rolą Author na przeprowadzenie ataków Stored Cross-Site Scripting.
Ocena ryzyka
Atakujący z uprawnieniami Author może wstrzyknąć złośliwy kod do plików SVG, który zostanie wykonany w przeglądarkach innych użytkowników, prowadząc do kradzieży sesji lub innych ataków. Może to naruszyć bezpieczeństwo całej witryny WordPress.
Rekomendacja
Zaktualizuj wtyczkę Plus Addons for Elementor do wersji 6.3.16 lub nowszej. Rozważ ograniczenie możliwości przesyłania plików SVG dla użytkowników o niskich uprawnieniach.
Inne podatności w Plus Addons for Elementor
Zobacz wszystkie- CVE-2026-15285Średnie
Wtyczka Plus Addons for Elementor dla WordPressa do wersji 6.4.11 zawiera podatność na trwałe ataki XSS (Cross-Site Scripting) z poziomu uwierzytelnionego użytkownika (rola Współautor lub wyższa). Podatność występuje w widżecie Button przez parametr `custom_attributes`, gdzie funkcja `render` przekazuje nieprzefiltrowany ciąg znaków do funkcji `tp_senitize_js_input()`, która może być ominięta.
- CVE-2026-9243Średnie
Wtyczka Plus Addons for Elementor dla WordPressa do wersji 6.4.15 zawiera podatność na przechowywany XSS przez parametr 'carousel_direction' w widżecie Carousel Anything. Niedostateczne filtrowanie wyjścia w funkcji render() pozwala na wstrzyknięcie atrybutu HTML, co umożliwia uwierzytelnionym atakującym (od poziomu contributor) wstrzyknięcie dowolnego skryptu.
Oryginalny opis (angielski, źródło NVD)
The Plus Addons for Elementor WordPress plugin before 6.3.16 does not sanitize SVG file contents, which could allow users with minimum role access as Author to perform Stored Cross-Site Scripting attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS