CVE-2025-12828

ŚrednieCVSS 6.4

Opublikowano: 03/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 03/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka Ultra Addons Lite for Elementor dla WordPressa jest podatna na przechowywany XSS poprzez widget Type Out we wszystkich wersjach do 1.3.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Atakujący z uprawnieniami współpracownika może wykonać dowolny kod JavaScript w przeglądarkach odwiedzających, co może prowadzić do kradzieży sesji lub danych. Wymaga to konta z uprawnieniami współpracownika lub wyższymi.

Rekomendacja

Zaktualizuj wtyczkę do wersji nowszej niż 1.3.2, gdy będzie dostępna, oraz ogranicz liczbę kont z uprawnieniami współpracownika do zaufanych użytkowników.

Inne podatności w Ultra Addons Lite for Elementor

CVE-2025-9077Średnie
Wtyczka Ultra Addons Lite for Elementor dla WordPressa w wersji 1.1.9 i poniżej jest podatna na przechowywany atak XSS przez pole 'Animated Text' w widżecie Typeout. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym na wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy ich odwiedzeniu.

Oryginalny opis (angielski, źródło NVD)

The Ultra Addons Lite for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Type Out widget in all versions up to, and including, 1.3.2 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS