JVNDB-2025-024076

Leap13のPremium Addons for Elementorにおけるクロスサイトリクエストフォージェリの脆弱性

WordPress 用の Premium Addons for Elementor プラグインには、バージョン 4.11.53 までのすべてのバージョンにクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。この脆弱性は、「insert_inner_template」関数にノンス検証が欠如していることに起因しています。その結果、認証されていない攻撃者が、サイト管理者や edit_posts 権限を持つ他のユーザーにリンククリックなどの操作をさせることで、偽造リクエストを利用し任意の Elementor テンプレートを作成することが可能になります。

Leap13

• Premium Addons for Elementor 4.11.54 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

wordfence

• Wordfence Intelligence : Premium Addons for Elementor <= 4.11.53 - Cross-Site Request Forgery via 'insert_inner_template'

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]

1. CVE-2025-14163

1. National Vulnerability Database (NVD) : CVE-2025-14163
2. 関連文書 : manager.php in premium-addons-for-elementor/tags/4.11.53/includes/templates/classes      WordPress Plugin Repository (https://plugins.trac.wordpress.org/browser/premium-addons-for-elementor/tags/4.11.53/includes/templates/classes/manager.php#L40)
3. 関連文書 : Changeset 3416254  WordPress Plugin Repository
4. 関連文書 : manager.php in premium-addons-for-elementor/tags/4.11.53/includes/templates/classes      WordPress Plugin Repository (https://plugins.trac.wordpress.org/browser/premium-addons-for-elementor/tags/4.11.53/includes/templates/classes/manager.php#L246)

• [2026年01月07日]
    掲載