Analityczne wykorzystywanie plików cookies
CVE-2025-2944: Stored Cross-Site Scripting w wtyczce Jeg Elementor Kit dla WordPress
Wtyczka Jeg Elementor Kit do WordPress ma lukę XSS w widgetach Video Button i Countdown do wersji 2.6.12. Zalecane szybkie aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 32.38%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Jeg Elementor Kit dla WordPress do wersji 2.6.12 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez widgety Video Button i Countdown. Luka wynika z niewystarczającej sanitizacji i ucieczki danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników. Organizacje korzystające z tej wtyczki narażają się na ryzyko naruszenia bezpieczeństwa i utraty zaufania użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Jeg Elementor Kit i ich wdrożenie. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnych widgetów. Regularne monitorowanie i priorytetyzacja działań zabezpieczających jest kluczowa.