CVE-2025-14635
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Happy Addons for Elementor dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr 'ha_page_custom_js' we wszystkich wersjach do 3.20.3 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Contributor i wyższym wstrzykiwanie dowolnych skryptów w strony, które wykonają się przy każdej wizycie użytkownika, mimo że funkcja Custom JS jest przeznaczona tylko dla administratorów.
Ocena ryzyka
Możliwe jest wykonanie dowolnego JavaScriptu w przeglądarce użytkowników, w tym przejęcie sesji administratora i modyfikacja treści strony.
Rekomendacja
Zaktualizuj wtyczkę Happy Addons for Elementor do wersji nowszej niż 3.20.3, a do czasu aktualizacji ogranicz role Contributor i przeglądaj nietypowe skrypty w treściach.
Inne podatności w Happy Addons for Elementor
Zobacz wszystkie- CVE-2026-62080Średnie
Wtyczka Happy Addons for Elementor w wersji 3.23.1 i wcześniejszych zawiera podatność na Cross Site Scripting (XSS) z poziomu kontrybutora. Umożliwia to wstrzyknięcie złośliwego skryptu.
- CVE-2026-109891Średnie
Wtyczka Happy Addons for Elementor w wersjach do 3.50.1 zawiera podatność braku autoryzacji, wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to pozwolić na wykorzystanie błędnie skonfigurowanych mechanizmów bezpieczeństwa.
- CVE-2026-116850Średnie
Wtyczka Happy Addons for Elementor (do wersji 3.50.1) jest podatna na przechowywany Cross-site Scripting (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.
- CVE-2026-104393Średnie
Podatność typu Stored XSS w wtyczce Happy Addons for Elementor od weDevs. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia trwałe wykonanie złośliwego skryptu.
- CVE-2025-63077Średnie
Wtyczka Happy Addons for Elementor (wersje do 3.20.3 włącznie) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to pozwolić na nieautoryzowany dostęp do funkcji lub danych.
Oryginalny opis (angielski, źródło NVD)
The Happy Addons for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'ha_page_custom_js' parameter in all versions up to, and including, 3.20.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page, despite the intended role restriction of Custom JS to Administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS