CVE-2026-102394

Wtyczka Essential Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) w widżecie Kalendarza wydarzeń. Podatność występuje we wszystkich wersjach do 6.6.2 włącznie, z powodu niewystarczającego oczyszczania danych wejściowych i wyjściowych dla tytułów wydarzeń pochodzących z The Events Calendar.

Wtyczka Essential Addons for Elementor dla WordPressa w wersjach do 6.6.4 włącznie zawiera podatność na ujawnienie informacji poprzez funkcję ajax_load_more. Niezautoryzowani atakujący mogą wyodrębnić dane z chronionych hasłem, prywatnych lub szkicowych postów.

Podatność polegająca na obejściu uwierzytelniania przez spoofing w WPDeveloper Essential Addons for Elementor umożliwia podszywanie się pod tożsamość. Problem dotyczy wersji od n/a do 6.8.0.

Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.6.10 nie wykonuje autoryzacji, sprawdzenia statusu ani widoczności podczas rozwiązywania produktów WooCommerce w funkcji porównywania produktów. Pozwala to nieuwierzytelnionym użytkownikom na ujawnienie tytułu, ceny i SKU produktów w wersji roboczej, oczekujących i prywatnych, które w przeciwnym razie są ukryte przed publicznym widokiem.

Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.6.10 nie waliduje nazwy tagu HTML tytułu widżetu tabeli cen przed jego wyświetleniem. Pozwala to użytkownikom z dostępem na poziomie współautora i wyższym na wstrzyknięcie JavaScript, który zostanie wykonany (Stored Cross-Site Scripting) podczas przeglądania strony, w tym w sesji administratora podglądającego lub odwiedzającego post.

Wtyczka Essential Addons for Elementor dla WordPressa jest podatna na trwałe ataki XSS poprzez widżet Fancy Text we wszystkich wersjach do 6.6.11 włącznie. Podatność wynika z niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów internetowych na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka Essential Addons for Elementor – Popular Elementor Templates & Widgets dla WordPress jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez ustawienia koloru globalnego Reading Progress we wszystkich wersjach do 6.6.11 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzykiwanie dowolnych skryptów internetowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka Essential Addons for Elementor do WordPressa jest podatna na przejęcie konta administratora poprzez wstrzyknięcie nagłówka e-mail. Podatność występuje we wszystkich wersjach do 6.6.10 włącznie i wynika z braku walidacji po stronie serwera ustawienia widżetu logowania/rejestracji, które jest używane do konstruowania nagłówków wychodzących e-maili. Atakujący z dostępem na poziomie Współpracownika lub wyższym może wstrzyknąć nagłówek Bcc, aby otrzymać kopię linku do resetowania hasła administratora i przejąć jego konto.

W wersjach Essential Addons for Elementor poniżej 6.6.0 występuje nieautoryzowany błąd kontroli dostępu.

Podatność typu DOM-Based XSS w Essential Addons for Elementor (wtyczka WordPress) umożliwia atakującemu manipulację DOM w przeglądarce ofiary. Problem dotyczy wersji do 6.5.3 włącznie.