CVE-2026-10081
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Unlimited Elements For Elementor dla WordPress przed wersją 2.0.11 nie oczyszcza treści recenzji Google pobieranych z Serp API przed wyświetleniem w widżecie Google Reviews. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie trwałego XSS poprzez złośliwą recenzję na liście Google.
Ocena ryzyka
Każdy odwiedzający stronę WordPress wyświetlającą recenzje danego miejsca może zostać zaatakowany, w tym administratorzy, co może prowadzić do przejęcia konta i dalszej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę Unlimited Elements For Elementor do wersji 2.0.11 lub nowszej, która zawiera odpowiednie sanityzacje danych.
Inne podatności w Unlimited Elements For Elementor
Zobacz wszystkie- CVE-2026-28146Średnie
Podatność w wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersjach do 2.0.14 umożliwia użytkownikowi z rolą Współautor (Contributor) pobieranie dowolnych plików z serwera.
- CVE-2026-28147Średnie
Brak autoryzacji we wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.0.15 włącznie.
- CVE-2026-57718Wysokie
Wtyczka Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersji do 2.0.12 zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy kod JavaScript do odpowiedzi serwera, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-48837Wysokie
Wtyczka Unlimited Elements For Elementor do wersji 2.0.8 włącznie jest podatna na blind SQL Injection. Atakujący może wstrzykiwać zapytania SQL przez niesanitizowane parametry, co pozwala na nieautoryzowany dostęp do bazy danych.
- CVE-2023-3295Wysokie
Wtyczka Unlimited Elements For Elementor dla WordPress jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu plików w funkcjonalności menedżera plików w wersjach do 1.5.66 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie współtwórcy i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.
Oryginalny opis (angielski, źródło NVD)
The Unlimited Elements For Elementor WordPress plugin before 2.0.11 does not sanitize or escape Google review content fetched from the Serp API before rendering it in the Google Reviews widget output, allowing unauthenticated attackers who submit a malicious review on the targeted business's Google listing to deliver Stored XSS to any visitor (including administrators) of any WP page displaying that Place ID's reviews.