CVE-2025-14155
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 - wyżej niż 55% wszystkich znanych CVE
Streszczenie
Wtyczka Premium Addons for Elementor dla WordPress w wersjach do 4.11.53 włącznie jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji 'get_template_content'. Umożliwia to nieuwierzytelnionym atakującym przeglądanie zawartości prywatnych, roboczych i oczekujących szablonów.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do poufnych treści szablonów, co może prowadzić do wycieku informacji lub ujawnienia niezakończonych projektów.
Rekomendacja
Zaktualizuj wtyczkę Premium Addons for Elementor do wersji nowszej niż 4.11.53, która zawiera poprawkę, lub ogranicz dostęp do funkcji szablonów.
Inne podatności w Premium Addons for Elementor
Zobacz wszystkie- CVE-2026-62078Średnie
Podatność Cross Site Scripting (XSS) w wtyczce Premium Addons for Elementor w wersjach do 4.11.105. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony.
- CVE-2026-109890Średnie
Wtyczka Premium Addons for Elementor zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.11.110.
- CVE-2026-108490Średnie
Wtyczka Premium Addons for Elementor do wersji 4.11.110 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu wstrzyknięcie złośliwego skryptu, który będzie wykonywany w przeglądarce innych użytkowników.
- CVE-2026-108482Średnie
Wtyczka Premium Addons for Elementor (LeapWorx) zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od n/a do 4.11.110.
- CVE-2026-103084Średnie
Wtyczka Premium Addons for Elementor do WordPressa zawiera podatność na Stored XSS (trwały cross-site scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 4.11.109 włącznie.
- CVE-2026-94168Średnie
Podatność Cross Site Scripting (XSS) w wtyczce Premium Addons for Elementor w wersjach do 4.11.105 włącznie. Podatność może być wykorzystana przez użytkownika z uprawnieniami Contributor.
- CVE-2026-12141Średnie
Wtyczka Premium Addons for Elementor do WordPressa jest podatna na przechowywane ataki XSS poprzez parametr 'premium_tooltip_text' w wersjach do 4.11.84 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym na wstrzykiwanie dowolnych skryptów.
- CVE-2025-68494Średnie
Wtyczka Premium Addons for Elementor (Leap13) w wersjach do 4.11.53 włącznie jest podatna na ujawnienie wrażliwych informacji systemowych nieuprawnionemu podmiotowi, co pozwala na odzyskanie osadzonych wrażliwych danych.
- CVE-2025-14163Średnie
Wtyczka Premium Addons for Elementor dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 4.11.53 włącznie. Brak walidacji nonce w funkcji 'insert_inner_template' umożliwia nieuwierzytelnionym atakującym tworzenie dowolnych szablonów Elementor poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora lub użytkownika z uprawnieniami edit_posts do wykonania akcji, np. kliknięcia linku.
Oryginalny opis (angielski, źródło NVD)
The Premium Addons for Elementor – Powerful Elementor Templates & Widgets plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the 'get_template_content' function in all versions up to, and including, 4.11.53. This makes it possible for unauthenticated attackers to view the content of private, draft, and pending templates.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS