🔍 Essential Addons for Elementor XSS脆弱性検出ツール

🚨 重要情報

このツールはセキュリティ研究およびパッチ適用目的のみに使用してください。サイトに害を及ぼすために使用しないでください。脆弱なサイトを見つけた場合は、サイト所有者に責任を持って報告し、直ちに更新してもらうようにしてください。

⚠️ 脆弱性の詳細

Essential Addons for Elementorにおける反射型XSS脆弱性が、バージョン6.0.15未満を使用している10万以上のウェブサイトに影響を与えます。これには CVE-2025-24752 が割り当てられています。

👉 手動POC

https://target.com/?popup-selector=<img_src=x_onerror=alert("chirag")>&eael-lostpassword=1

🖼️ スクリーンショット

🔧 必要条件

pip install selenium webdriver-manager

⚙️ 使用方法

python poc.py targets.txt

✅ 機能

• 100%正確な検出: nucleiやhttpxツールとは異なり、このスクリプトは実際にブラウザで脆弱なページを読み込み、アラートの実行を確認することでXSSを確認します。
• 一括スキャン: 複数のターゲットを処理可能（ブラウザベースの確認のため低速になることに注意）
• 完璧な検出: プラグイン検出用のNucleiテンプレートがassetsに含まれています

📝 検出YAML

プラグイン検出用の完璧なテンプレートがassetsに含まれています: detect-elementor-for-xss.yaml

📚 追加情報と参考文献

この脆弱性は、popup-selector クエリ引数のバリデーションとサニタイズが不十分であるために発生し、悪意のある値がユーザーに反映されることを許します。バージョン6.0.15で修正されました。

詳細情報: Patchstack記事

⚠️ 免責事項

このツールは教育および保護目的のみで提供されます。脆弱性のテストを行う前に、必ず適切な許可を得てください。作者はこのツールの誤用について責任を負いません。

🙏 謝辞

この脆弱性を特定し報告してくれた責任あるセキュリティ研究者に感謝します。