CVE-2025-9978
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Jeg Kit for Elementor dla WordPressa w wersjach przed 2.7.0 nie sanityzuje zawartości plików SVG przesyłanych przez xmlrpc.php, co prowadzi do podatności typu cross-site scripting (XSS).
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków.
Rekomendacja
Zaktualizuj wtyczkę Jeg Kit for Elementor do wersji 2.7.0 lub nowszej, która naprawia tę podatność. Rozważ wyłączenie przesyłania plików SVG przez xmlrpc.php, jeśli nie jest to konieczne.
Inne podatności w Jeg Kit for Elementor
Zobacz wszystkie- CVE-2026-65549Wysokie
Podatność na wstrzyknięcie obiektów PHP z poziomu autora w wtyczce Jeg Kit for Elementor w wersjach do 3.2.10.
- CVE-2026-2916Średnie
Wtyczka Jeg Kit for Elementor dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.1.1 włącznie. Podatność występuje w metodzie enqueue_scripts() w pliku class/dashboard/class-dashboard.php, która wstrzykuje obiekt JavaScript JkitDashboardOption zawierający szczegóły wtyczek, środowiska systemowego oraz potencjalnie klucze API stron trzecich.
- CVE-2026-13710Średnie
Wtyczka Jeg Kit dla Elementor do WordPressa w wersjach do 3.2.6 zawiera podatność na przechowywany atak XSS przez widget Image Box. Atakujący z dostępem na poziomie Contributor lub wyższym mogą wstrzyknąć dowolny skrypt przez parametr 'sg_body_description'.
Oryginalny opis (angielski, źródło NVD)
The Jeg Kit for Elementor WordPress plugin before 2.7.0 does not sanitize SVG file contents when uploaded via xmlrpc.php, leading to a cross site scripting vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS