CVE-2025-14275: Stored Cross-Site Scripting w wtyczce Jeg Elementor Kit dla WordPress

Co wiadomo

Wtyczka Jeg Elementor Kit do WordPressa do wersji 3.0.1 zawiera lukę typu Stored Cross-Site Scripting w funkcji przekierowania widgetu odliczania, wynikającą z niewystarczającej sanitacji danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współtwórcy wstrzyknięcie złośliwego kodu JavaScript, który wykona się podczas przeglądania strony przez administratora lub innego użytkownika.

Wpływ biznesowy

Luka pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki administratora lub innych użytkowników, co może prowadzić do przejęcia sesji, modyfikacji zawartości strony lub innych działań nieautoryzowanych. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa swoich witryn WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Jeg Elementor Kit i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, szczególnie poziom Contributor i wyższe. Warto również monitorować logi serwera i aplikacji pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie widgetu odliczania, jeśli jest używany.

Źródła

• NVD
• Reference
• Reference
• Reference