CVE-2026-2916
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Jeg Kit for Elementor dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.1.1 włącznie. Podatność występuje w metodzie enqueue_scripts() w pliku class/dashboard/class-dashboard.php, która wstrzykuje obiekt JavaScript JkitDashboardOption zawierający szczegóły wtyczek, środowiska systemowego oraz potencjalnie klucze API stron trzecich.
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wyodrębnić wrażliwe dane konfiguracyjne, szczegóły zainstalowanych wtyczek oraz potencjalnie klucze API (np. Mailchimp) poprzez inspekcję kodu źródłowego strony. Może to prowadzić do dalszych ataków na system.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Jeg Kit for Elementor do najnowszej wersji, która usuwa tę podatność. Należy również ograniczyć uprawnienia użytkowników do niezbędnego minimum.
Inne podatności w Jeg Kit for Elementor
Zobacz wszystkie- CVE-2026-65549Wysokie
Podatność na wstrzyknięcie obiektów PHP z poziomu autora w wtyczce Jeg Kit for Elementor w wersjach do 3.2.10.
- CVE-2026-13710Średnie
Wtyczka Jeg Kit dla Elementor do WordPressa w wersjach do 3.2.6 zawiera podatność na przechowywany atak XSS przez widget Image Box. Atakujący z dostępem na poziomie Contributor lub wyższym mogą wstrzyknąć dowolny skrypt przez parametr 'sg_body_description'.
Oryginalny opis (angielski, źródło NVD)
The Jeg Kit for Elementor plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 3.1.1 via the `enqueue_scripts()` method in `class/dashboard/class-dashboard.php`. The plugin injects a `JkitDashboardOption` JavaScript object containing full plugin inventory (names, versions, paths, active status), system environment details (WordPress version, PHP version, site URLs, server capabilities), and potentially third-party API credentials (Mailchimp API key via `jkit_user_data`) as an inline script on the `post.php` admin page. Because this data is output without any capability check beyond post editing access, any authenticated user with Contributor-level access or above can view this sensitive configuration data by inspecting the page source. This makes it possible for authenticated attackers, with Contributor-level access and above, to extract sensitive site configuration data, installed plugin details, and potentially third-party API keys.