Elementor joprojām iekļauj ievainojamo Swiper: ko CVE-2026-27212 nozīmē tavai vietnei

Swiper ir viena no populārākajām slīdņu bibliotēkām internetā, un Elementor to izmanto visos savos karuseļos un galerijās. 2026. gada februārī Swiper izstrādātāji salaboja kritisku ievainojamību CVE-2026-27212. Taču pat oktobra vidū jaunākā Elementor versija 4.3.5 joprojām iekļauj Swiper 8.4.5 versiju, kas šo labojumu nesatur.

Mēs to pamanījām ikmēneša drošības skenēšanā, ko EvoEX veic klientu vietnēm. Šajā rakstā skaidrojam, kas tieši ir bojāts, cik liels ir reālais risks un ko darīt, kamēr Elementor labojumu nav izlaidis.

Kas ir Swiper un kāpēc tas ir tavā vietnē

Swiper ir JavaScript bibliotēka, kas nodrošina pārvelkamus slīdņus: bilžu karuseļus, atsauksmju slīdņus, produktu galerijas. Elementor to iekļauj savā spraudnī (mapē elementor/assets/lib/swiper/v8/) un ielādē lapās, kurās izmantots kāds no slīdņu logrīkiem. Ja tava vietne veidota ar Elementor, Swiper, visticamāk, ir arī tajā, pat ja tu par to nekad neesi dzirdējis.

Kas ir ievainojamība

CVE-2026-27212 ir “prototype pollution” tipa ievainojamība, un GitHub drošības datubāzē tā novērtēta kā kritiska. Tā skar Swiper versijas no 6.5.1 līdz 12.1.1; labojums pieejams versijā 12.1.2, kas iznāca 2026. gada 18. februārī.

Vienkāršiem vārdiem: ja uzbrucējs var iedot Swiper speciāli sagatavotus iestatījumus, viņš var izmainīt JavaScript pamatobjektus pārlūkā. Iepriekšējais labojums pārbaudīja aizliegtos atslēgvārdus, taču to varēja apiet, izmantojot masīvus. Sekas atkarīgas no tā, kas lapā notiek tālāk, un sliktākajā gadījumā tas var atvērt ceļu kaitīga koda izpildei apmeklētāja pārlūkā.

Kāpēc Elementor to vēl nav salabojis

Elementor joprojām izmanto Swiper 8. versiju, un pāreja uz jaunāko (šobrīd 14.x) nozīmē lielas izmaiņas, kas var salauzt esošos slīdņus tūkstošiem vietņu. Tāpēc ievainojamā versija paliek spraudnī jau aptuveni astoņus mēnešus. Mēs to pārbaudījām 15. oktobrī: Elementor 4.3.5 un Elementor Pro 4.3.2 ielādē swiper.min.js?ver=8.4.5.

Cik liels ir reālais risks

Šeit ir labā ziņa. Elementor slīdņu iestatījumi nāk no redaktora, un tos var mainīt tikai vietnes administrators vai redaktors. Parasts apmeklētājs no ārpuses tos ietekmēt nevar. Lai izmantotu šo ievainojamību caur Elementor logrīkiem, uzbrucējam jau vajadzētu piekļuvi administrācijas panelim, un tad viņam ir daudz vienkāršāki veidi, kā vietni sabojāt.

Tāpēc praktiskais risks lielākajai daļai Elementor vietņu ir zems. Situācija var būt citāda, ja vietnē ir citi spraudņi vai pielāgots kods, kas Swiper iestatījumus veido no URL parametriem vai lietotāja ievadītiem datiem.

Ko darīt tagad

• Atjaunini Elementor un Elementor Pro uz jaunākajām versijām. Tas Swiper problēmu vēl neatrisina, bet aizver citas, piemēram, CVE-2026-32475 Elementor Pro failu augšupielādē.
• Aizsargā administratoru kontus: spēcīgas paroles un divu faktoru autentifikācija visiem, kam ir piekļuve redaktoram. Tas ir galvenais aizsardzības slānis tieši šai ievainojamībai.
• Pārbaudi citus spraudņus, kas izmanto slīdņus. Ja kāds no tiem ielādē savu Swiper kopiju, pārliecinies, ka tā ir 12.1.2 vai jaunāka.
• Nemaini Swiper failu ar roku. Elementor ar jaunāku Swiper versiju var nedarboties, un nākamais spraudņa atjauninājums tavu labojumu tik un tā pārrakstīs.

Kā mēs to atradām

EvoEX klientu vietnēm katru mēnesi veicam automātisku drošības skenēšanu ar OWASP ZAP, kas pārbauda vietni no ārpuses tāpat kā potenciāls uzbrucējs: novecojušas bibliotēkas, drošības galvenes, publiski pieejamus failus. Šoreiz tā atrada Swiper 8.4.5. Tiklīdz Elementor izlaidīs versiju ar laboto Swiper, mūsu klientu vietnes tiks atjauninātas, un nākamā skenēšana to apstiprinās.

Ja vēlies uzzināt, vai tavā vietnē nav līdzīgu nepilnību, sazinies ar mums, un mēs to pārbaudīsim.