CVE-2026-11380: podatność Stored XSS w wtyczce JetWidgets For Elementor dla WordPress

Co wiadomo

Wtyczka JetWidgets For Elementor do WordPressa w wersjach do 1.0.21 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) z powodu niewystarczającego oczyszczania danych i braku walidacji po stronie serwera w ustawieniu animation_effect widgetu Animated Box. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta umożliwia atakującym z dostępem autorskim lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Operatorzy CMS powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki JetWidgets For Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnego widgetu. Regularne przeglądy bezpieczeństwa i stosowanie zasad minimalnych uprawnień pomogą ograniczyć ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference