CVE-2026-4341
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Wtyczka Prime Slider dla Elementora do wersji 4.1.10 zawiera podatność na Stored XSS przez ustawienie 'follow_us_text' w widżecie Mount. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych pozwala atakującym z dostępem autora lub wyższym na wstrzykiwanie dowolnych skryptów.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwych skryptów na stronach, co może prowadzić do kradzieży danych sesji, defacementu lub dalszych ataków na użytkowników.
Rekomendacja
Należy zaktualizować wtyczkę Prime Slider do wersji powyżej 4.1.10, która zawiera poprawkę zabezpieczającą.
Inne podatności w Prime Slider – Addons for Elementor
Zobacz wszystkie- CVE-2026-105875Średnie
Wtyczka Prime Slider – Addons For Elementor do WordPressa posiada podatność typu Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od nieznanej do 4.6.2 włącznie.
- CVE-2025-68500Średnie
Wtyczka Prime Slider – Addons For Elementor do wersji 4.0.10 zawiera podatność Server-Side Request Forgery (SSRF), która pozwala atakującemu na wysyłanie żądań z serwera do wewnętrznych zasobów.
Oryginalny opis (angielski, źródło NVD)
The Prime Slider – Addons for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'follow_us_text' setting of the Mount widget in all versions up to, and including, 4.1.10. This is due to insufficient input sanitization and output escaping. Specifically, the `render_social_link()` function in `modules/mount/widgets/mount.php` outputs the `follow_us_text` Elementor widget setting using `echo` without any escaping function. The setting value is stored in `_elementor_data` post meta via `update_post_meta`. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS