CVE-2026-0920
KrytyczneStreszczenie
Wtyczka LA-Studio Element Kit dla Elementora w WordPressie jest podatna na tworzenie użytkowników administracyjnych we wszystkich wersjach do i włącznie z 1.5.6.3. Problem wynika z funkcji 'ajax_register_handle', która nie ogranicza ról użytkowników, jakie mogą być przypisane podczas rejestracji.
Ocena ryzyka
Atakujący bez uwierzytelnienia mogą zarejestrować się jako administrator, co stwarza poważne zagrożenie dla bezpieczeństwa strony. Może to prowadzić do nieautoryzowanego dostępu i potencjalnych szkód w systemie.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność. Dodatkowo warto rozważyć ograniczenie możliwości rejestracji użytkowników na stronie.
Oryginalny opis (angielski, źródło NVD)
The LA-Studio Element Kit for Elementor plugin for WordPress is vulnerable to Administrative User Creation in all versions up to, and including, 1.5.6.3. This is due to the 'ajax_register_handle' function not restricting what user roles a user can register with. This makes it possible for unauthenticated attackers to supply the 'lakit_bkrole' parameter during registration and gain administrator access to the site.