CVE-2026-107866: Stored XSS в WordPress-плагине JetElements For Elementor до версии 2.9.2.3
В плагине JetElements For Elementor от Crocoblock обнаружена уязвимость хранимого межсайтового скриптинга (Stored XSS), затрагивающая версии до 2.9.2.3 включительно. Проблема вызвана недостаточной нейтрализацией пользовательского ввода при генерации веб-страниц и позволяет внедрять вредоносные скрипты в контент сайта. Уязвимости присвоен уровень критичности CVSS 6.5 (Medium).
Подробности
Согласно описанию CVE, проблема кроется в некорректной нейтрализации пользовательского ввода при генерации веб-страниц (Improper Neutralization of Input During Web Page Generation), что приводит к возможности проведения атак типа «хранимый межсайтовый скриптинг» (Stored XSS). Затронуты все версии плагина Crocoblock JetElements For Elementor до 2.9.2.3 включительно. Уязвимости присвоена базовая оценка CVSS 6.5, что соответствует среднему уровню критичности. Это означает, что эксплуатация требует определённых условий, однако потенциальный ущерб достаточно серьёзен, чтобы пренебрегать обновлением. Ключевая опасность Stored XSS заключается в том, что вредоносный скрипт сохраняется на сервере (например, в базе данных сайта) и автоматически исполняется в браузере каждого посетителя заражённой страницы. Это открывает злоумышленнику широкий спектр возможностей: от перехвата сессионных данных и перенаправления пользователей на фишинговые ресурсы до выполнения действий от имени администратора сайта и полной компрометации ресурса. Поскольку JetElements For Elementor встраивается в редактор Elementor и активно используется для создания контента, злоумышленник может внедрять опасный код через поля виджетов и другие точки ввода, доступные пользователям с соответствующими правами. В зависимости от конфигурации сайта это могут быть как редакторы, так и авторы контента.Что делать
Основная рекомендация — как можно скорее обновить плагин JetElements For Elementor до версии, в которой устранена уязвимость (выше 2.9.2.3). Проверить наличие обновлений и актуальную версию можно в административной панели WordPress или в официальном репозитории плагина. Если обновление недоступно, стоит рассмотреть временное отключение плагина до выхода патча. Дополнительные меры защиты:- Провести аудит пользовательских учётных записей и ограничить права редактирования контентом минимально необходимым кругом лиц.
- Установить решения для мониторинга целостности файлов и базового анализа веб-трафика на предмет подозрительных вставок.
- Использовать WAF (веб-приложение firewall) для фильтрации потенциально опасных скриптовых вставок.
- Регулярно проверять контент сайта на наличие несанкционированных скриптов и изменений.
Источник: CVE Project (cvelistV5)