CVE-2026-17019
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka JetEngine do WordPressa przed wersją 3.8.13.1 nie dezynfekuje przesłanych plików SVG przed ich przechowywaniem i serwowaniem oraz nie ogranicza odpowiednio, kto może je przesyłać, co pozwala nieuwierzytelnionym atakującym na przesłanie pliku zawierającego złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika, który go otworzy (Stored Cross-Site Scripting).
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji użytkowników, kradzież danych i rozprzestrzenianie złośliwego oprogramowania w przeglądarkach odwiedzających.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 3.8.13.1 lub nowszej oraz wdrożenie walidacji i sanityzacji przesyłanych plików SVG.
Oryginalny opis (angielski, źródło NVD)
The JetEngine WordPress plugin before 3.8.13.1 does not sanitise uploaded SVG files before storing and serving them, and does not adequately restrict who can upload them, allowing unauthenticated attackers to upload a file containing malicious JavaScript that executes in the browser of any user who opens it (Stored Cross-Site Scripting).