Elementor <= 3.33.3 - प्रमाणित (Contributor+) टेक्स्ट पाथ के माध्यम से संग्रहीत DOM-आधारित क्रॉस-साइट स्क्रिप्टिंग

Elementor प्लगइन में CVE-2025-11220 भेद्यता संस्करण 3.33.3 तक और उससे पहले के संस्करणों को प्रभावित करती है। यह प्लगइन के 'टेक्स्ट पाथ' विजेट के माध्यम से संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) हमले की अनुमति देता है। एक प्रमाणित हमलावर, जिसके पास योगदानकर्ता-स्तर का एक्सेस या उससे अधिक है, वेब पेजों में दुर्भावनापूर्ण जावास्क्रिप्ट कोड इंजेक्ट कर सकता है। जब भी कोई उपयोगकर्ता समझौता किए गए पृष्ठ तक पहुंचता है, तो यह कोड निष्पादित होगा, जिससे संवेदनशील जानकारी की चोरी, पहचान प्रतिरूपण या दुर्भावनापूर्ण वेबसाइटों पर रीडायरेक्ट हो सकता है। बड़ी संख्या में उपयोगकर्ताओं और उपयोगकर्ता-जनित सामग्री वाली वेबसाइटों के लिए जोखिम विशेष रूप से महत्वपूर्ण है।

1. आरक्षित2025-09-30
2. प्रकाशित2025-12-16
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-03-23

अनुशंसित समाधान Elementor प्लगइन को तुरंत संस्करण 3.33.4 या उससे उच्चतर में अपडेट करना है। इस संस्करण में एक फिक्स शामिल है जो 'टेक्स्ट पाथ' विजेट के भीतर SVG मार्कअप बनाने के लिए उपयोग किए जाने वाले उपयोगकर्ता-प्रदत्त इनपुट को ठीक से निष्क्रिय कर देता है, जिससे दुर्भावनापूर्ण स्क्रिप्ट का निष्पादन रोका जा सकता है। इस बीच, एक निवारक उपाय के रूप में, योगदानकर्ता-स्तर के अनुमतियों या उससे अधिक वाले उपयोगकर्ताओं के लिए संपादन एक्सेस को प्रतिबंधित करें, जिससे संभावित रूप से हानिकारक सामग्री को इंजेक्ट करने की क्षमता सीमित हो जाएगी। किसी भी हमले के प्रभाव को कम करने के लिए नियमित वेबसाइट बैकअप भी एक अच्छी प्रथा है।

सक्रिय इंस्टॉलेशन

10.0Mलोकप्रिय

प्लगइन रेटिंग