Fuente base de datos: Wordfence Intelligence

Jeg Kit for Elementor <= 3.2.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'sg_body_description' Parameter via 'jkit_image_box' Shortcode/Widget en JEG Elementor KIT (Cross-Site Scripting (XSS)) - version 3.2.7

PLUGIN MEDIUM CVE-2026-13710

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Jeg Kit for Elementor, que afecta a las versiones hasta la 3.2.6. Este fallo permite la inyección de scripts maliciosos que pueden comprometer la seguridad del sitio y la integridad de los datos del usuario.

Contexto técnico

La vulnerabilidad se presenta a través del parámetro 'sg_body_description' en el shortcode/widget 'jkit_image_box'. Esta superficie de ataque requiere que el atacante esté autenticado como contribuyente o con un rol superior, lo que limita el acceso a usuarios no autorizados.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la ejecución de scripts maliciosos en el navegador de otros usuarios, lo que puede llevar al robo de información sensible o a la manipulación de la interfaz del sitio web. Esto podría dañar la reputación de la empresa y afectar la confianza del usuario.

Vector de explotación

La explotación se realiza mediante la inserción de código JavaScript en el campo 'sg_body_description', lo que permite que el script se ejecute en el contexto de otros usuarios que visualicen el contenido afectado.

Mitigación recomendada

Actualizar el plugin Jeg Kit for Elementor a la versión 3.2.7 o superior. Revisar los permisos de usuario para limitar el acceso a funciones críticas del plugin. Realizar auditorías de seguridad periódicas para detectar posibles inyecciones de código.

Señales de detección

Monitorizar los logs de acceso en busca de patrones inusuales, como solicitudes al parámetro 'sg_body_description' que contengan código JavaScript. También se deben revisar cambios inesperados en el contenido generado por el shortcode 'jkit_image_box'.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Jeg Kit for Elementor hasta la 3.2.6. No se han reportado casos de explotación en versiones superiores a la 3.2.7.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

jeg-elementor-kit