🔍 Детектор XSS-уязвимости Essential Addons for Elementor

🚨 Важная информация

Этот инструмент предназначен только для исследований безопасности и целей исправления. Не используйте его для вреда сайтам. Если вы находите уязвимые сайты, сообщите об этом ответственно владельцам сайтов, чтобы они могли немедленно обновить их.

⚠️ Детали уязвимости

Отраженная XSS-уязвимость в Essential Addons for Elementor затрагивает более 100 000+ сайтов, использующих версии ниже 6.0.15. Ей присвоен CVE-2025-24752.

👉 Ручной POC

https://target.com/?popup-selector=<img_src=x_onerror=alert("chirag")>&eael-lostpassword=1

🖼️ Скриншоты

🔧 Требования

pip install selenium webdriver-manager

⚙️ Использование

python poc.py targets.txt

✅ Особенности

• 100% точное обнаружение: В отличие от инструментов nuclei или httpx, этот скрипт подтверждает XSS, фактически загружая уязвимую страницу в браузере и наблюдая выполнение alert.
• Массовое сканирование: Может обрабатывать несколько целей (примечание: будет медленнее из-за подтверждения на основе браузера).
• Идеальное обнаружение: Включен шаблон Nuclei для обнаружения плагина в assets.

📝 YAML для обнаружения

В assets включен идеальный шаблон обнаружения для плагина: detect-elementor-for-xss.yaml

📚 Дополнительная информация и ссылки

Уязвимость возникает из-за недостаточной проверки и очистки аргумента запроса popup-selector, позволяя вредоносному значению отражаться обратно пользователю. Исправлено в версии 6.0.15.

Подробнее: Статья Patchstack

⚠️ Отказ от ответственности

Этот инструмент предоставляется только в образовательных и защитных целях. Всегда получайте надлежащее разрешение перед тестированием любого сайта на уязвимости. Автор не несет ответственности за неправильное использование этого инструмента.

🙏 Благодарности

Спасибо ответственным исследователям безопасности, которые выявили и сообщили об этой уязвимости.