CVE-2026-13710

إصدارات Jeg Kit for Elementor الأقدم من 3.2.7

تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات لخاصية «description» داخل دالة render body() في فئة Image Box View. بينما تتم معالجة السمات الأخرى باستخدام esc attr()، يتم ربط قيمة المعلمة sg body description في أداة Image Box مباشرةً بسياق نص HTML. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يزور المستخدم الصفحة المتأثرة.

قم بالتحديث إلى إصدار أحدث من 3.2.6.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى عنصر واجهة المستخدم «Image Box» أو تجنب استخدام المعلمة sg body description حتى يتم تطبيق التحديث.