CVE-2026-103341

Podatność na Reflected XSS w Unlimited Elements For Elementor do wersji 2.0.20. Brak neutralizacji danych wejściowych podczas generowania strony.

Wtyczka Unlimited Elements For Elementor (Free Widgets, Addons, Templates) do WordPressa zawiera podatność SQL Injection (Blind SQL Injection) wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Problem dotyczy wersji od początku istnienia do 2.0.20 włącznie.

Wtyczka Unlimited Elements For Elementor w wersjach do 2.0.19 włącznie zawiera podatność typu Server Side Request Forgery (SSRF). Użytkownik z uprawnieniami Contributor może wymusić na serwerze wykonanie żądań do dowolnych zasobów.

Wtyczka Unlimited Elements for Elementor dla WordPressa przed wersją 2.0.21 nieprawidłowo obsługuje wartość wyszukiwania przed przepisaniem już przygotowanego zapytania SQL, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection i pobieranie niepublicznych treści, gdy powiązana opcja widgetu jest ustawiona inaczej niż domyślnie.

Wtyczka Unlimited Elements for Elementor dla WordPressa przed wersją 2.0.21 nie sanityzuje ścieżek plików wewnątrz przesłanych archiwów przed ich rozpakowaniem, co pozwala uwierzytelnionym użytkownikom z dostępem do funkcji zarządzania zasobami (domyślnie administratorzy, lub edytorzy, gdy włączona jest niestandardowa opcja) na zapisywanie dowolnych plików, w tym wykonywalnych PHP, poza zamierzonym katalogiem przesyłania na serwerach, gdzie rozszerzenie PHP zip jest niedostępne, prowadząc do zdalnego wykonania kodu.

Wtyczka WordPress Unlimited Elements for Elementor w wersji przed 2.0.21 nie escapuje wartości ikony przed włączeniem jej do atrybutu HTML w swoim współdzielonym procesorze parametrów widżetu. Umożliwia to użytkownikom z dostępem współpracownika (którzy nie mają uprawnień unfiltered_html) zapisanie ładunku, który wykonuje się podczas renderowania strony.

Wtyczka Unlimited Elements For Elementor dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'data[name]' we wszystkich wersjach do 2.0.16 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych, a akcja AJAX show_preview jest zarejestrowana dla nieuwierzytelnionych użytkowników i chroniona tylko przez nonce, który atakujący może pobrać z publicznie dostępnej strony.

Wtyczka Unlimited Elements For Elementor dla WordPressa (wersje do 2.0.16 włącznie) jest podatna na wstrzykiwanie SQL poprzez parametr 'addontype' z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL w funkcji getWhereString(). Nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL w celu wyodrębnienia wrażliwych informacji z bazy danych.

Podatność typu Cross Site Scripting (XSS) bez uwierzytelnienia w wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersjach do 2.0.17. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony, który wykona się w przeglądarce ofiary.

Wtyczka Unlimited Elements For Elementor dla WordPressa jest podatna na odbity atak XSS przez parametr 'formData[id]' we wszystkich wersjach do 2.0.17 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link. Dodatkowo, handler AJAX po stronie frontendu jest zarejestrowany na publicznym zdarzeniu 'wp' bez sprawdzania nonce, uprawnień czy referera, a surowa wartość id jest interpolowana do komunikatu wyjątku i zwracana bez escapowania.