🔍 Elementor Essential Addons XSS漏洞检测器

🚨 关键信息

此工具仅用于安全研究和修补目的。请勿用于破坏网站。如果您发现存在漏洞的网站，请负责任地向网站所有者报告，以便他们立即更新。

⚠️ 漏洞详情

Elementor的Essential Addons插件中存在一个反射型XSS漏洞，影响超过10万个使用6.0.15以下版本的网站。该漏洞已被分配编号 CVE-2025-24752。

👉 手动POC

https://target.com/?popup-selector=<img_src=x_onerror=alert("chirag")>&eael-lostpassword=1

🖼️ 截图

🔧 环境要求

pip install selenium webdriver-manager

⚙️ 使用方法

python poc.py targets.txt

✅ 功能特点

• 100%准确检测：与nuclei或httpx等工具不同，该脚本通过实际在浏览器中加载漏洞页面并观察告警执行来确认XSS
• 批量扫描：可以处理多个目标（注意：由于基于浏览器的确认，速度会较慢）
• 完美检测：包含用于资产中插件检测的Nuclei模板

📝 检测YAML

包含一个用于资产中插件检测的完美模板： detect-elementor-for-xss.yaml

📚 附加信息与参考

该漏洞是由于对 popup-selector 查询参数验证和清理不足，导致恶意值被反射回用户。已在6.0.15版本中修复。

更多详情：Patchstack文章

⚠️ 免责声明

此工具仅用于教育和保护目的。在测试任何网站漏洞之前，务必获得适当授权。作者不对该工具的滥用负责。

🙏 致谢

感谢识别并报告此漏洞的负责任的安全研究人员。