CVE-2026-13710
El plugin The Jeg Kit for Elementor – Powerful Addons for Elementor, Widgets & Templates para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) a través del parámetro 'sg_body_description' de la widget Image Box en versiones hasta y incluyendo 3.2.6. Esto se debe a una sanitización de entrada insuficiente y escape de salida en el atributo description en el método render_body() de la clase Image_Box_View — todos los demás atributos utilizados por el método están envueltos en esc_attr(), pero el valor de la descripción se concatena directamente en el contexto del cuerpo HTML. Esto permite a atacantes autenticados, con acceso de nivel Contributor o superior, inyectar scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org