Xpro Addons — 140+ Widgets for Elementor <= 1.4.24 - 認証済み (Contributor+) Icon Boxウィジェット経由の保存型クロスサイトスクリプティング

CVE-2026-2949は、WordPress用のXpro Addons — 140+ウィジェット for Elementorプラグインに影響を与え、バージョン1.4.24まで、Icon Boxウィジェットを介してStored Cross-Site Scripting (XSS)の脆弱性を公開します。貢献者レベル以上のアクセス権を持つ認証された攻撃者は、任意のWebスクリプトをページに挿入できます。これらのスクリプトは、ユーザーが挿入されたページにアクセスするたびに実行されます。これにより、攻撃者は潜在的に機密情報を盗んだり、ユーザーを悪意のあるWebサイトにリダイレクトしたり、ユーザーの代わりにアクションを実行したりする可能性があります。CVSSスコアが6.4であることは、多数のユーザーがいるサイトや機密データを処理するサイトの場合、中程度から高いリスクを示しています。

1. 予約済み2026-02-21
2. 公開日2026-04-04
3. 更新日2026-04-08
4. EPSS 更新日2026-04-11

主な軽減策は、Xpro Addonsプラグインをバージョン1.4.25以降に更新することです。このアップデートには、悪意のあるスクリプトの挿入を防ぐために必要な修正が含まれています。さらに、特権を持つユーザーによって編集されたものなど、WordPressページを疑わしいコンテンツについて確認してください。堅牢なパスワードポリシーを施行し、すべての管理者ユーザーに対して二要素認証（2FA）を有効にすることで、不正アクセスリスクを大幅に軽減できます。潜在的な脆弱性を積極的に特定して対処するために、定期的なセキュリティ監査も推奨されます。Web Application Firewall（WAF）の使用を検討して、追加の保護レイヤーを追加してください。

アクティブインストール数

30K既知

プラグイン評価