CVE-2026-13710: Stored Cross-Site Scripting w wtyczce Jeg Kit for Elementor

Co wiadomo

Wtyczka Jeg Kit for Elementor do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'sg_body_description' widgetu Image Box w wersjach do 3.2.6 włącznie. Problem wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu w metodzie render_body() klasy Image_Box_View.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki w środowisku produkcyjnym wymaga szczególnej uwagi i szybkiego reagowania.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Jeg Kit for Elementor i ich wdrożenie. W przypadku braku łatki, ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Warto także rozważyć tymczasowe wyłączenie widgetu Image Box lub całej wtyczki do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference