プラットフォーム
wordpress
コンポーネント
elementor
修正版
3.30.3
Elementor Website BuilderプラグインのText Pathウィジェットにおいて、data-text属性の入力値検証が不十分なため、Stored Cross-Site Scripting (XSS) 脆弱性が存在します。認証された攻撃者は、この脆弱性を悪用して、Webページに悪意のあるスクリプトを注入し、ユーザーがそのページにアクセスするたびに実行させることが可能です。この脆弱性は、Elementorのバージョン0.0.0から3.30.2までのバージョンに影響を与えますが、バージョン3.30.3で修正されています。
Elementor Website BuilderプラグインのCVE-2025-4566脆弱性は、バージョン3.30.2以前に影響を与え、保存型のクロスサイトスクリプティング（XSS）攻撃を可能にします。貢献者レベル以上のアクセス権を持つ認証された攻撃者は、「Text Path」ウィジェットの「data-text」属性を介して悪意のあるJavaScriptコードを注入できます。このコードは、ユーザーが侵害されたページにアクセスするたびに実行されます。主な影響は、なりすまし、セッションクッキーの窃取、悪意のあるサイトへのリダイレクト、またはページコンテンツの改ざんであり、ウェブサイトのセキュリティと整合性が損なわれます。CVSSスコアは6.4で、中程度から高いリスクを示します。
Elementorを使用しているウェブサイトへの貢献者以上のアクセス権を持つ攻撃者は、この脆弱性を悪用できます。攻撃者は「Text Path」ウィジェットの「data-text」属性に悪意のあるJavaScriptコードを注入します。このコードはウェブサイトのデータベースに保存され、侵害されたウィジェットを含むページにユーザーがアクセスするたびに実行されます。悪意のあるコードの実行により、攻撃者はユーザーを装って機密情報を盗んだり、ウェブサイトのコンテンツを改ざんしたりする可能性があります。Elementorの広範な採用と、悪意のあるコードを注入する比較的簡単なため、この脆弱性の悪用は容易です。
エクスプロイト状況
EPSS
0.04% (12% パーセンタイル)
CISA SSVC
CVSS ベクトル
直ちに行うべき対策は、Elementorプラグインをバージョン3.30.3以降に更新することです。この更新により、入力の適切なサニタイズと出力のエスケープを「Text Path」ウィジェットに実装することで、脆弱性が修正されます。さらに、貢献者以上の権限を持つユーザーが作成または編集したページなど、既存のページに悪意のあるコードの注入がないか確認してください。Content Security Policy（CSP）を実装することで、脆弱性が直ちに修正されない場合でも、XSS攻撃の影響を軽減できます。サーバーログを監視して、不審な活動がないか確認することも、セキュリティのベストプラクティスです。
Actualice el plugin Elementor a la versión 3.30.3 o superior para mitigar la vulnerabilidad de XSS. Asegúrese de realizar una copia de seguridad de su sitio web antes de actualizar. Esta actualización aborda la falta de sanitización y escape de salida que permitía la inyección de scripts maliciosos.
脆弱性分析と重要アラートをメールでお届けします。
XSS（クロスサイトスクリプティング）は、攻撃者が他のユーザーが閲覧するウェブページに悪意のあるスクリプトを挿入できるセキュリティ脆弱性の種類です。
Elementorを使用しており、バージョン3.30.2以前を使用している場合は、影響を受けている可能性があります。貢献者権限以上のユーザーが作成したページに不審なコードがないか確認してください。
WordPressにおける貢献者は、コンテンツを公開および編集するための制限された権限を持つユーザーロールです。
はい、バージョン3.30.3以降に更新することが主な解決策です。ただし、既存のページに潜在的な注入がないか確認することも推奨されます。
CSPは、ウェブサイト管理者がブラウザがロードすることを許可されているリソースを制御できるセキュリティメカニズムであり、XSS攻撃を防ぐのに役立ちます。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。