CVE-2025-12837

ŚrednieCVSS 6.4

Opublikowano: 08/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Wtyczka aThemes Addons for Elementor dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez widget Call To Action w wersjach do 1.1.5 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarce odwiedzających stronę, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści. Ryzyko dotyczy wszystkich witryn z zainstalowaną podatną wtyczką.

Rekomendacja

Zaktualizuj wtyczkę aThemes Addons for Elementor do najnowszej wersji, która naprawia podatność. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki do czasu wydania poprawki.

Inne podatności w aThemes Addons for Elementor

CVE-2025-60112Średnie
Wtyczka aThemes Addons for Elementor zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od n/a do 1.1.2 włącznie.

Oryginalny opis (angielski, źródło NVD)

The aThemes Addons for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Call To Action widget in versions up to, and including, 1.1.5 due to insufficient input sanitization and output escaping on user-supplied values. This makes it possible for authenticated attackers with contributor-level and above permissions to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS