CVE-2026-0920
CriticalSummary
Wtyczka LA-Studio Element Kit dla Elementora w WordPressie jest podatna na tworzenie użytkowników administracyjnych we wszystkich wersjach do i włącznie z 1.5.6.3. Problem wynika z funkcji 'ajax_register_handle', która nie ogranicza ról użytkowników, jakie mogą być przypisane podczas rejestracji.
Risk Assessment
Atakujący bez uwierzytelnienia mogą zarejestrować się jako administrator, co stwarza poważne zagrożenie dla bezpieczeństwa strony. Może to prowadzić do nieautoryzowanego dostępu i potencjalnych szkód w systemie.
Recommendation
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność. Dodatkowo warto rozważyć ograniczenie możliwości rejestracji użytkowników na stronie.
Original NVD description (English source)
The LA-Studio Element Kit for Elementor plugin for WordPress is vulnerable to Administrative User Creation in all versions up to, and including, 1.5.6.3. This is due to the 'ajax_register_handle' function not restricting what user roles a user can register with. This makes it possible for unauthenticated attackers to supply the 'lakit_bkrole' parameter during registration and gain administrator access to the site.