CVE-2023-3295
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
Wtyczka Unlimited Elements For Elementor dla WordPress jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu plików w funkcjonalności menedżera plików w wersjach do 1.5.66 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie współtwórcy i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.
Ocena ryzyka
Atakujący mogą przesyłać złośliwe pliki, co może prowadzić do zdalnego wykonania kodu na serwerze, stwarzając poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 1.5.67 lub nowszej, aby usunąć tę podatność.
Inne podatności w Unlimited Elements For Elementor
Zobacz wszystkie- CVE-2026-28146Średnie
Podatność w wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersjach do 2.0.14 umożliwia użytkownikowi z rolą Współautor (Contributor) pobieranie dowolnych plików z serwera.
- CVE-2026-28147Średnie
Brak autoryzacji we wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.0.15 włącznie.
- CVE-2026-10081Wysokie
Wtyczka Unlimited Elements For Elementor dla WordPress przed wersją 2.0.11 nie oczyszcza treści recenzji Google pobieranych z Serp API przed wyświetleniem w widżecie Google Reviews. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie trwałego XSS poprzez złośliwą recenzję na liście Google.
- CVE-2026-57718Wysokie
Wtyczka Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersji do 2.0.12 zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy kod JavaScript do odpowiedzi serwera, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-48837Wysokie
Wtyczka Unlimited Elements For Elementor do wersji 2.0.8 włącznie jest podatna na blind SQL Injection. Atakujący może wstrzykiwać zapytania SQL przez niesanitizowane parametry, co pozwala na nieautoryzowany dostęp do bazy danych.
Oryginalny opis (angielski, źródło NVD)
The Unlimited Elements For Elementor (Free Widgets, Addons, Templates) for WordPress is vulnerable to arbitrary file uploads due to missing file type validation of files in the file manager functionality in versions up to, and including, 1.5.66 . This makes it possible for authenticated attackers, with contributor-level permissions and above, to upload arbitrary files on the affected site's server which may make remote code execution possible. The issue was partially patched in version 1.5.66 and fully patched in 1.5.67. CVE-2023-31231 appears to be a duplicate of this issue.