Elementor sisaldab endiselt haavatavat Swiper'it: mida CVE-2026-27212 tähendab teie veebisaidile

Swiper on üks populaarsemaid slaiditeekide teeke internetis, ja Elementor kasutab seda kõigis oma karusellidest ja galeriidest. Veebruaris 2026 paandasid Swiper arendajad kriitilise haavatavuse CVE-2026-27212. Kuid isegi oktoobri keskel sisaldab uusim Elementor versioon 4.3.5 endiselt Swiper 8.4.5 versiooni, mis seda parandust ei sisalda.

Avastasime selle igakuisest turvalisuse skaneerimisest, mida EvoEX teostab kliendiandmete saitidel. Selles artiklis selgitame, mis täpselt on vigastatud, kui suur on tegelik risk ja mida teha, kuni Elementor paranduse välja annab.

Mis on Swiper ja miks see sinu saidil on

Swiper on JavaScripti teek, mis pakub lohistavaid slaideid: piltide karusselle, arvustuste slaideid, toodete galeriisid. Elementor kaasab selle oma pistikusse (kaustasse elementor/assets/lib/swiper/v8/) ja laadib selle lehtedele, kus kasutatakse mõnda slaidividinate vidinat. Kui sinu sait on Elementoriga ehitatud, on Swiper tõenäoliselt ka seal, isegi kui oled sellest kunagi kuulnud.

Mis on haavatavus

CVE-2026-27212 on "prototüübi saastamise" tüüpi haavatavus ja GitHubi turvalisuse andmebaasis on see hinnatud kriitiliseks. See mõjutab Swiper versioone 6.5.1-st 12.1.1-ni; parandus on saadaval versioonis 12.1.2, mis ilmus 18. veebruaril 2026.

Lihtsamalt öeldes: kui ründaja saab edastada Swiperi spetsiaalselt ettevalmistatud seadistused, saab ta muuta JavaScripti baasasutusi brauseris. Varasem parandus kontrollis keelatud märksõnu, kuid seda saadi ümber minna massiivide abil. Tagajärjed sõltuvad sellest, mis lehel edasi toimub, ja halvemal juhul võib see avada tee kahjuliku koodin täitmisele külastaja brauseris.

Miks Elementor seda veel parandanud pole

Elementor kasutab endiselt Swiper versiooni 8 ja uusimale versioonile (praegu 14.x) üleminek tähendab suuri muudatusi, mis võivad olemasolevaid slaidide tuhandeid saite katkestada. Seepärast jääb haavatav versioon pistikusse juba ligikaudu kaheksa kuud. Kontrollisime seda 15. oktoobril: Elementor 4.3.5 ja Elementor Pro 4.3.2 laadivad swiper.min.js?ver=8.4.5.

Kui suur on tegelik risk

Siin on hea uudis. Elementori slaidi seadistused tulevad redaktorist ja neid saavad muuta ainult saidi administraator või toimetaja. Tavapärane välisvisiitor neid mõjutada ei saa. Selle haavatavuse kasutamiseks Elementori vidinate kaudu peab ründajal juba olema juurdepääs administraatoripaneelile ja siis on tal saidile kahju tegemiseks palju lihtsamad viisid.

Seetõttu on suurema osa Elementori saitide jaoks praktiline risk madal. Olukord võib olla teistsugune, kui saidil on muud pistikud või kohandatud kood, mis loob Swiperi seadistusi URL-i parameetritest või kasutaja sisestatud andmete põhjal.

Mida teha nüüd

• Uuenda Elementor ja Elementor Pro uusimatele versioonidele. See Swiperi probleemi veel ei lahenda, kuid sulgeb teisi, näiteks CVE-2026-32475 Elementor Pro failide üleslaadimises.
• Kaitse administraatorikontosid: tugevad paroolid ja kahefaktoriline autentimine kõigile, kellel on juurdepääs redaktorile. See on peamine kaitsetase just sellele haavatavusele.
• Kontrolli muud pistikuid, mis kasutavad slaideid. Kui üks neist laadib oma Swiperi koopia, veendu, et see on versioon 12.1.2 või uuem.
• Ära muuda käsitsi Swiperi faile. Elementor ei pruugi uuema Swiperi versiooniga töötada ja järgmine pistiku uuendus kirjutab sinu paranduse igal juhul üle.

Kuidas me selle leidsime

EvoEX klientide veebisaitidele teeme igakuise automaatse turbeskannimise kasutades OWASP ZAP, mis kontrollib saiti väljastpoolt, nagu potentsiaalne ründaja teeks: aegunud raamatukogud, turvapäised, avalikult ligipääsetavad failid. Seekord leiti Swiper 8.4.5. Niipea kui Elementor väljastab versiooniga, millele on parandus tehtud, uuendatakse meie klientide saidid ja järgmise skannimise käigus kinnitatakse see.