Elementor <= 3.33.3 - 認証済み (Contributor+) ストアドDOMベースのクロスサイトスクリプティング (Cross-Site Scripting) (テキストパス経由)

ElementorプラグインのCVE-2025-11220脆弱性は、バージョン3.33.3以前に影響します。この脆弱性を利用すると、プラグインの「テキストパス」ウィジェットを通じて、保存型のクロスサイトスクリプティング（XSS）攻撃が可能になります。攻撃者は、コントリビューター以上の権限を持つ認証されたユーザーとして、Webページに悪意のあるJavaScriptコードを挿入できます。挿入されたページにユーザーがアクセスするたびに、このコードが実行され、機密情報の窃取、なりすまし、悪意のあるWebサイトへのリダイレクトなどの被害が発生する可能性があります。ユーザーベースが大きく、ユーザー生成コンテンツが多いWebサイトでは、特にリスクが高いです。

1. 予約済み2025-09-30
2. 公開日2025-12-16
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

推奨される対策は、Elementorプラグインをバージョン3.33.4以降にすぐにアップデートすることです。このバージョンには、ウィジェット内のSVGマークアップの構築に使用されるユーザーからの入力を適切に無効化する修正が含まれており、悪意のあるスクリプトの実行を防ぎます。その間、予防措置として、コントリビューター以上の権限を持つユーザーの編集アクセスを制限し、潜在的に有害なコンテンツの挿入能力を制限することをお勧めします。また、Webサイトの定期的なバックアップも、あらゆる攻撃の影響を軽減するための良い習慣です。

アクティブインストール数

10.0M人気

プラグイン評価