CVE-2025-8444
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Animation Addons for Elementor – GSAP Powered Elementor Addons & Website Templates dla WordPressa jest podatna na DOM-Based Stored Cross-Site Scripting poprzez wiele parametrów we wszystkich wersjach do 4.2.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę.
Ocena ryzyka
Atakujący z kontem Contributor może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach odwiedzających, co może prowadzić do kradzieży sesji lub danych. Ryzyko dotyczy witryn WordPress z zainstalowaną podatną wtyczką.
Rekomendacja
Zaktualizuj wtyczkę Animation Addons for Elementor do wersji nowszej niż 4.2.6. Do czasu aktualizacji ogranicz uprawnienia Contributor lub rozważ wyłączenie wtyczki.
Inne podatności w Animation Addons for Elementor
Zobacz wszystkie- CVE-2026-17565Wysokie
Wtyczka Animation Addons for Elementor dla WordPressa przed wersją 2.7.2 nie weryfikuje wartości dostarczonej przez użytkownika przed użyciem jej do zbudowania hosta żądania HTTP po stronie serwera, co pozwala nieuwierzytelnionym użytkownikom na zmuszenie witryny do wysyłania żądań do wewnętrznych hostów i odczytywania odpowiedzi.
- CVE-2026-13330Średnie
Wtyczka Animation Addons for Elementor do WordPressa przed wersją 2.7.0 nie dezynfekuje przesyłanych plików SVG/SVGZ, które dodaje do listy dozwolonych typów plików. Użytkownicy z uprawnieniem upload_files (Autor i wyżej) mogą przesyłać pliki zawierające złośliwy JavaScript, co prowadzi do trwałego ataku XSS.
- CVE-2026-15299Średnie
Wtyczka Animation Addons for Elementor dla WordPressa jest podatna na trwałe ataki XSS poprzez parametry 'weather_style' i 'move_direction' widgetu pogodowego. Podatność występuje we wszystkich wersjach do 2.6.3 włącznie, z powodu braku odpowiedniego escapowania danych wyjściowych w funkcji render() widgetu.
- CVE-2026-39702Średnie
Wtyczka Animation Addons for Elementor dla WordPressa (wersje do 2.6.1 włącznie) zawiera podatność na DOM-Based Cross-Site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który wykonuje się w przeglądarce ofiary.
- CVE-2025-67540Średnie
Wtyczka Animation Addons for Elementor (animation-addons-for-elementor) firmy Wealcoder zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.4.5 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Animation Addons for Elementor – GSAP Powered Elementor Addons & Website Templates plugin for WordPress is vulnerable to DOM-Based Stored Cross-Site Scripting via the multiple parameters in all versions up to, and including, 4.2.6 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS