Luka XSS w wtyczce Jeg Kit for Elementor WordPress (CVE-2025-9978)

Co wiadomo

Wtyczka Jeg Kit for Elementor WordPress w wersjach przed 2.7.0 nie oczyszcza poprawnie zawartości plików SVG przesyłanych przez xmlrpc.php, co umożliwia ataki typu cross-site scripting (XSS). Luka ta może pozwolić atakującemu na wykonanie złośliwego kodu w kontekście przeglądarki użytkownika.

Wpływ biznesowy

Niewłaściwe filtrowanie plików SVG może prowadzić do ataków XSS, które zagrażają bezpieczeństwu użytkowników i integralności witryny. Ataki te mogą skutkować kradzieżą danych sesji, manipulacją treścią strony lub innymi nieautoryzowanymi działaniami. Operatorzy stron korzystających z tej wtyczki powinni zwrócić uwagę na potencjalne ryzyko związane z przesyłaniem plików SVG.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Jeg Kit for Elementor do wersji 2.7.0 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji warto ograniczyć dostęp do xmlrpc.php, monitorować logi pod kątem podejrzanych aktywności oraz stosować dodatkowe mechanizmy filtrowania przesyłanych plików SVG. Priorytetowo traktuj przegląd i wdrożenie dostępnych poprawek od dostawcy.

Źródła

• NVD
• Reference