CVE-2026-13710
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka Jeg Kit dla Elementor do WordPressa w wersjach do 3.2.6 zawiera podatność na przechowywany atak XSS przez widget Image Box. Atakujący z dostępem na poziomie Contributor lub wyższym mogą wstrzyknąć dowolny skrypt przez parametr 'sg_body_description'.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwego skryptu, który wykona się przy każdej wizycie użytkownika na zainfekowanej stronie, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Jeg Kit dla Elementor do najnowszej wersji, która usuwa tę podatność, oraz ograniczenie uprawnień użytkowników do niezbędnego minimum.
Inne podatności w Jeg Kit for Elementor
Zobacz wszystkie- CVE-2026-65549Wysokie
Podatność na wstrzyknięcie obiektów PHP z poziomu autora w wtyczce Jeg Kit for Elementor w wersjach do 3.2.10.
- CVE-2026-2916Średnie
Wtyczka Jeg Kit for Elementor dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.1.1 włącznie. Podatność występuje w metodzie enqueue_scripts() w pliku class/dashboard/class-dashboard.php, która wstrzykuje obiekt JavaScript JkitDashboardOption zawierający szczegóły wtyczek, środowiska systemowego oraz potencjalnie klucze API stron trzecich.
Oryginalny opis (angielski, źródło NVD)
The Jeg Kit for Elementor – Powerful Addons for Elementor, Widgets & Templates for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Image Box widget's 'sg_body_description' parameter in versions up to, and including, 3.2.6. This is due to insufficient input sanitization and output escaping on the description attribute in the render_body() method of the Image_Box_View class — every other attribute used by the method is wrapped in esc_attr(), but the description value is concatenated directly into HTML body context. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.