CVE-2025-8195

ŚrednieCVSS 6.4

Opublikowano: 13/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Wtyczka JetWidgets For Elementor dla WordPressa jest podatna na trwały atak XSS (Stored Cross-Site Scripting) poprzez widgety Image Comparison i Subscribe we wszystkich wersjach do 1.0.20 włącznie. Problem wynika z niewystarczającej sanityzacji danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.

Ocena ryzyka

Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty na strony, które wykonają się przy odwiedzinach przez innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji, która zawiera poprawki zabezpieczeń, oraz ograniczenie uprawnień dla użytkowników z rolą współautora.

Inne podatności w JetWidgets For Elementor

CVE-2026-11380Średnie
Wtyczka JetWidgets For Elementor dla WordPressa do wersji 1.0.21 włącznie jest podatna na przechowywane ataki Cross-Site Scripting (XSS). Podatność wynika z niedostatecznego kodowania wyjścia i braku walidacji po stronie serwera ustawienia animation_effect w widżecie Animated Box, które jest renderowane w atrybucie klasy HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się podczas odwiedzenia zainfekowanej strony.

Oryginalny opis (angielski, źródło NVD)

The JetWidgets For Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's Image Comparison and Subscribe widgets in all versions up to, and including, 1.0.20 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS