CVE-2026-39702
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka Animation Addons for Elementor dla WordPressa (wersje do 2.6.1 włącznie) zawiera podatność na DOM-Based Cross-Site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który wykonuje się w przeglądarce ofiary.
Ocena ryzyka
Atakujący może wykonywać dowolne skrypty w kontekście ofiary, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj wtyczkę Animation Addons for Elementor do wersji 2.6.2 lub nowszej, jeśli dostępna; w przeciwnym razie usuń lub wyłącz wtyczkę.
Inne podatności w Animation Addons for Elementor
Zobacz wszystkie- CVE-2026-17565Wysokie
Wtyczka Animation Addons for Elementor dla WordPressa przed wersją 2.7.2 nie weryfikuje wartości dostarczonej przez użytkownika przed użyciem jej do zbudowania hosta żądania HTTP po stronie serwera, co pozwala nieuwierzytelnionym użytkownikom na zmuszenie witryny do wysyłania żądań do wewnętrznych hostów i odczytywania odpowiedzi.
- CVE-2026-13330Średnie
Wtyczka Animation Addons for Elementor do WordPressa przed wersją 2.7.0 nie dezynfekuje przesyłanych plików SVG/SVGZ, które dodaje do listy dozwolonych typów plików. Użytkownicy z uprawnieniem upload_files (Autor i wyżej) mogą przesyłać pliki zawierające złośliwy JavaScript, co prowadzi do trwałego ataku XSS.
- CVE-2026-15299Średnie
Wtyczka Animation Addons for Elementor dla WordPressa jest podatna na trwałe ataki XSS poprzez parametry 'weather_style' i 'move_direction' widgetu pogodowego. Podatność występuje we wszystkich wersjach do 2.6.3 włącznie, z powodu braku odpowiedniego escapowania danych wyjściowych w funkcji render() widgetu.
- CVE-2025-8444Średnie
Wtyczka Animation Addons for Elementor dla WordPress do wersji 2.6.7 zawiera podatność na DOM-Based Stored XSS przez wiele parametrów. Niewystarczająca sanitizacja wejścia i ucieczka wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Wealcoder Animation Addons for Elementor animation-addons-for-elementor allows DOM-Based XSS.This issue affects Animation Addons for Elementor: from n/a through <= 2.6.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS