Swiper to jedna z najpopularniejszych bibliotek sliderów w internecie, a Elementor wykorzystuje ją we wszystkich swoich karuzelach i galeriach. W lutym 2026 roku twórcy Swipera naprawili krytyczną podatność CVE-2026-27212. Jednak nawet w połowie października najnowsza wersja Elementora 4.3.5 nadal zawiera Swipera 8.4.5, czyli wersję bez tej poprawki.
Zauważyliśmy to podczas comiesięcznego skanowania bezpieczeństwa, które EvoEX wykonuje dla stron klientów. W tym artykule wyjaśniamy, co dokładnie jest wadliwe, jakie jest realne ryzyko i co zrobić, dopóki Elementor nie wyda poprawki.
Czym jest Swiper i dlaczego jest na Twojej stronie
Swiper to biblioteka JavaScript, która zapewnia przeciągane slidery: karuzele obrazów, slidery z opiniami, galerie produktów. Elementor dołącza ją do swojej wtyczki (w folderze elementor/assets/lib/swiper/v8/) i ładuje na stronach, na których użyto któregoś z widżetów slidera. Jeśli Twoja strona powstała w Elementorze, Swiper bardzo prawdopodobnie też na niej jest, nawet jeśli nigdy o nim nie słyszałeś.
Na czym polega podatność
CVE-2026-27212 to podatność typu „prototype pollution”, oceniona w bazie bezpieczeństwa GitHub jako krytyczna. Dotyczy wersji Swipera od 6.5.1 do 12.1.1; poprawka jest dostępna w wersji 12.1.2, wydanej 18 lutego 2026 roku.
Mówiąc prosto: jeśli atakujący może przekazać Swiperowi specjalnie przygotowane ustawienia, może zmodyfikować podstawowe obiekty JavaScript w przeglądarce. Wcześniejsza poprawka sprawdzała zakazane słowa kluczowe, ale dało się ją obejść za pomocą tablic. Skutki zależą od tego, co dzieje się na stronie dalej, a w najgorszym przypadku może to otworzyć drogę do wykonania złośliwego kodu w przeglądarce odwiedzającego.
Dlaczego Elementor jeszcze tego nie naprawił
Elementor nadal używa Swipera w wersji 8, a przejście na najnowszą (obecnie 14.x) oznacza duże zmiany, które mogą zepsuć istniejące slidery na tysiącach stron. Dlatego podatna wersja pozostaje we wtyczce już od około ośmiu miesięcy. Sprawdziliśmy to 15 października: Elementor 4.3.5 i Elementor Pro 4.3.2 ładują swiper.min.js?ver=8.4.5.
Jakie jest realne ryzyko
Mamy tu dobrą wiadomość. Ustawienia sliderów w Elementorze pochodzą z edytora, a zmienić je może tylko administrator lub redaktor strony. Zwykły odwiedzający z zewnątrz nie ma na nie wpływu. Aby wykorzystać tę podatność przez widżety Elementora, atakujący musiałby już mieć dostęp do panelu administracyjnego, a wtedy ma znacznie prostsze sposoby, by zaszkodzić stronie.
Dlatego praktyczne ryzyko dla większości stron opartych na Elementorze jest niskie. Sytuacja może wyglądać inaczej, jeśli na stronie działają inne wtyczki lub własny kod, które budują ustawienia Swipera na podstawie parametrów URL lub danych wprowadzonych przez użytkownika.
Co zrobić teraz
- Zaktualizuj Elementor i Elementor Pro do najnowszych wersji. To nie rozwiąże problemu ze Swiperem, ale zamknie inne luki, na przykład CVE-2026-32475 w przesyłaniu plików w Elementor Pro.
- Chroń konta administratorów: silne hasła i uwierzytelnianie dwuskładnikowe dla wszystkich, którzy mają dostęp do edytora. To główna warstwa ochrony przed tą konkretną podatnością.
- Sprawdź inne wtyczki, które używają sliderów. Jeśli któraś ładuje własną kopię Swipera, upewnij się, że to wersja 12.1.2 lub nowsza.
- Nie zmieniaj pliku Swipera ręcznie. Elementor z nowszą wersją Swipera może przestać działać, a następna aktualizacja wtyczki i tak nadpisze Twoją poprawkę.
Jak to znaleźliśmy
Dla stron klientów EvoEX co miesiąc wykonujemy automatyczne skanowanie bezpieczeństwa za pomocą OWASP ZAP, które sprawdza stronę z zewnątrz tak jak potencjalny atakujący: przestarzałe biblioteki, nagłówki bezpieczeństwa, publicznie dostępne pliki. Tym razem znalazło Swipera 8.4.5. Gdy tylko Elementor wyda wersję z poprawionym Swiperem, strony naszych klientów zostaną zaktualizowane, a kolejne skanowanie to potwierdzi.
Jeśli chcesz sprawdzić, czy na Twojej stronie nie ma podobnych luk, skontaktuj się z nami, a my to zweryfikujemy.