CVE-2025-9703
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Ultimate Addons for Elementor (dawniej Elementor Header & Footer Builder) dla WordPressa przed wersją 2.5.0 nie sanityzuje zawartości plików SVG przesyłanych przez punkt końcowy xmlrpc.php przy użyciu kodowania base64, co prowadzi do podatności na Cross-Site Scripting (XSS).
Ocena ryzyka
Organizacja może być narażona na wykonanie złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, danych lub dalszych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji 2.5.0 lub nowszej oraz wdrożenie walidacji zawartości plików SVG po stronie serwera.
Inne podatności w Ultimate Addons for Elementor
Zobacz wszystkie- CVE-2026-66688Średnie
Podatność XSS w Ultimate Addons for Elementor w wersjach do 1.45.2 pozwala użytkownikowi z rolą Współautor na wstrzyknięcie złośliwego skryptu.
- CVE-2026-15787Średnie
Wtyczka Ultimate Addons for Elementor dla WordPressa jest podatna na trwałe ataki XSS poprzez atrybuty data-toggle-icon/data-close-icon w widżecie nawigacji. Podatność występuje we wszystkich wersjach do 2.9.1 włącznie z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do strony.
Oryginalny opis (angielski, źródło NVD)
The Ultimate Addons for Elementor (Formerly Elementor Header & Footer Builder) WordPress plugin before 2.5.0 does not sanitize SVG file contents when uploaded through the xmlrpc.php endpoint using base64 encode, leading to a Cross-Site Scripting vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS