CVE-2026-110537
NieznaneStreszczenie
Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie weryfikuje, czy administrator może zarządzać konkretnymi kontami użytkowników objętymi funkcją zatwierdzania logowania, sprawdzając jedynie uprawnienie na poziomie witryny. W WordPress Multisite może to pozwolić administratorowi podstrony zmieniać stan zatwierdzenia i logowania kont należących do innych witryn w sieci.
Ocena ryzyka
Administrator podstrony może wpływać na dostęp kont z innych witryn sieci, potencjalnie blokując lub odblokowując logowanie nieuprawnionym osobom. Narusza to izolację uprawnień w multisite.
Rekomendacja
Zaktualizuj wtyczkę Essential Addons for Elementor do wersji 6.8.7 lub nowszej. Zweryfikuj stan zatwierdzeń kont w sieci multisite.
Inne podatności w Essential Addons for Elementor WordPress plugin
Zobacz wszystkie- CVE-2026-110510Nieznane
Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie waliduje ustawienia tagu HTML niektórych swoich widgetów przed użyciem go do budowy znaczników. Może to pozwolić użytkownikom z rolą author i wyższą na wstrzykiwanie elementów iframe i formularzy do opublikowanych stron.
- CVE-2026-18039Wysokie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.7.2 nie zapobiega nadpisywaniu zarezerwowanych atrybutów konta przez pola rejestracyjne dostarczane przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym rejestrację konta z dowolną rolą, w tym administratorem, na stronach, gdzie skonfigurowano niestandardowe pole profilu z określoną etykietą.
Oryginalny opis (angielski, źródło NVD)
The Essential Addons for Elementor WordPress plugin before 6.8.7 does not verify that an administrator may manage the specific user accounts targeted by its login-approval feature, checking only a site-level capability, which on WordPress Multisite could allow a subsite administrator to change the approval and login state of accounts belonging to other sites on the network.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS