CVE-2026-6916: Stored Cross-Site Scripting w wtyczce Jeg Kit for Elementor do WordPress

Co wiadomo

Wtyczka Jeg Kit for Elementor do WordPress jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'sg_content_number_prefix' we wszystkich wersjach do 3.1.0 włącznie. Luka wynika z niewystarczającej sanitizacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Jeg Kit for Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanych aktywności oraz monitorować witrynę pod kątem nietypowych zachowań. Priorytetowo traktuj aktualizacje i zabezpieczenia wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference