Elementor vis dar naudoja pažeidžiamą Swiper: ką CVE-2026-27212 reiškia jūsų svetainei

Swiper yra viena iš populiariausių slankiklių bibliotekų internete, ir Elementor ją naudoja visuose savo karuseliuose ir galerijose. 2026 m. vasarį Swiper kūrėjai pataisė kritinę pažaidą CVE-2026-27212. Tačiau net spalio viduryje naujiausia Elementor versija 4.3.5 vis dar turi Swiper 8.4.5 versiją, kuri šios pataisos neturėjo.

Tai pastebėjome atliekant mėnesinį saugos skenavimą, kurį EvoEX atlieka klientų tinklalapiams. Šiame straipsnyje paaiškinsime, kas tiksliai sugadinta, kokia yra tikroji rizika ir ką daryti, kol Elementor nepaskelbė pataisymo.

Kas yra Swiper ir kodėl jis yra jūsų tinklalapiui

Swiper yra JavaScript biblioteka, kuri suteikia tempimus skaidrėse: nuotraukų karuselius, atsiliepimų skaidrės, produktų galerijas. Elementor ją įtraukia į savo papildinį (aplanke elementor/assets/lib/swiper/v8/) ir įkelia puslapiuose, kurie naudoja bet kurį iš skaidrių valdiklių. Jei jūsų tinklalapis sukurtas su Elementor, Swiper, greičiausiai, jame yra, net jei apie tai niekada negirdėjote.

Kas yra pažaida

CVE-2026-27212 yra „prototype pollution" tipo pažaida, ir GitHub saugos duomenų bazėje ji įvertinta kaip kritinė. Tai veikia Swiper versijas nuo 6.5.1 iki 12.1.1; pataisos yra prieinama versijoje 12.1.2, kuri buvo išleista 2026 m. vasario 18 d.

Paprastais žodžiais: jei užpuoliko gali pateikti Swiper specialiai parengtas nuostatas, jis gali modifikuoti JavaScript pagrindinius objektus naršyklėje. Ankstesnis pataisymas tikrino uždraustus raktus, tačiau jis gali būti apeitas naudojant masyvus. Pasekmės priklauso nuo to, kas toliau vyksta puslapyje, ir blogiausiu atveju tai gali atidaryti duris kenkėjiškam kodui vykdyti lankytojo naršyklėje.

Kodėl Elementor to dar nepataisiusi

Elementor vis dar naudoja Swiper 8-ąją versiją, o perėjimas prie naujausioji (šiuo metu 14.x) reiškia didelius pokyčius, kurie gali sugadinti esamas skaidrės tūkstančiuose tinklalapiuose. Todėl pažaidota versija lieka papildinyje jau maždaug aštuonis mėnesius. Patikrinome spalio 15 d.: Elementor 4.3.5 ir Elementor Pro 4.3.2 įkelia swiper.min.js?ver=8.4.5.

Kokia yra tikroji rizika

Čia yra gera žinia. Elementor skaidrių nuostatos gaunamos iš redaktoriaus, ir jas gali keisti tik tinklalapio administratorius arba redaktorius. Paprastas išorinis aplankytoja jų neturi galimybės paveikti. Kad būtų galima panaudoti šią pažaidą per Elementor valdiklius, užpuolikui jau reikėtų turėti prieigą prie administravimo skydo, o tada jis turėtų daug paprastesnių būdų tinklalapiui sugadinti.

Todėl praktinė rizika daugumoje Elementor tinklalaipių yra žema. Situacija gali būti kitokia, jei tinklalapiui yra kitų papildinių arba pasirinktinio kodo, kuris Swiper nuostatas sukuria iš URL parametrų arba iš vartotojo įvestų duomenų.

Ką daryti dabar

• Atnaujinkite Elementor ir Elementor Pro į naujausias versijas. Tai dar neišsprendžia Swiper problemos, tačiau uždaro kitas, pavyzdžiui, CVE-2026-32475 Elementor Pro failų įkėlime.
• Apsaugokite administratoriaus paskyras: stiprios slaptažodžiai ir dviejų veiksnių autentifikacija visiems, turintiems prieigą prie redaktoriaus. Tai pagrindinis apsaugos sluoksnis šiai pažaidai.
• Patikrinkite kitus papildinius, kurie naudoja skaidrės. Jei vienas jų įkelia savo Swiper kopiją, įsitikinkite, kad tai yra 12.1.2 arba naujesnė.
• Nekeiskite Swiper failo rankiniu būdu. Elementor su naujesnė Swiper versija gali neveikti, ir tolimesnis papildinio atnaujinimas tą patį tavo pataisymą bet kuriuo atveju nepaisys.

Kaip mes tai radome

EvoEX kliento svetainėms kiekvieną mėnesį atliekame automatinį saugumo skenavimą naudodami OWASP ZAP, kuris tiria svetainę iš lauko panašiai kaip potencialus piktavalis: pasenusias bibliotekas, saugumo antraštes, viešai prieinamus failus. Šį kartą jis rado Swiper 8.4.5. Kai tik Elementor išleis versiją su pataisytu Swiper, mūsų klientų svetainės bus atnaujintos, o kitas skenavimas tai patvirtins.

Jei nori sužinoti, ar jūsų svetainėje nėra panašių trūkumų, susisiekite su mumis, ir mes ją patikrinome.