CVE-2026-112865
ŚrednieCVSS 6.5Streszczenie
Wtyczka Royal Elementor Addons (do wersji 1.7.1069) zawiera podatność DOM-Based XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wykorzystać manipulację DOM po stronie klienta do wykonania złośliwego skryptu.
Ocena ryzyka
Możliwe jest wykonanie dowolnego kodu JavaScript w przeglądarce ofiary w wyniku manipulacji DOM, co może prowadzić do kradzieży danych lub przejęcia konta. Ryzyko dotyczy witryn z zainstalowaną podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę Royal Elementor Addons do najnowszej wersji (powyżej 1.7.1069). Zaleca się również audyt kodu JavaScript pod kątem bezpiecznego przetwarzania danych wejściowych.
Inne podatności w Royal Elementor Addons
Zobacz wszystkie- CVE-2026-97255Średnie
Wtyczka Royal Elementor Addons do WordPressa zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Problem dotyczy wersji do 1.7.1069 włącznie.
- CVE-2026-97254Średnie
Wtyczka Royal Elementor Addons do WordPressa zawiera podatność Stored Cross-Site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 1.7.1069 włącznie.
- CVE-2026-111851Wysokie
Wtyczka Royal Elementor Addons do WordPressa (do wersji 1.7.1068) zawiera podatność typu unsafe reflection, polegającą na użyciu danych kontrolowanych z zewnątrz do wyboru klas lub kodu. Może to prowadzić do wstrzyknięcia kodu.
- CVE-2026-13407Średnie
Wtyczka Royal Elementor Addons dla WordPressa przed wersją 1.7.1067 nieprawidłowo sanityzuje i nie escapuje wartości przesłanych przez widget formularza przed umieszczeniem ich w treści wiadomości e-mail z powiadomieniem dla administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego HTML do wiadomości e-mail wysyłanych do administratora witryny po przesłaniu formularza.
- CVE-2026-17123Wysokie
Wtyczka Royal Elementor Addons dla WordPressa do wersji 1.7.1064 włącznie zawiera podatność na Server-Side Request Forgery (SSRF) w widżecie Form Builder. Atakujący z uprawnieniami Contributor może wysyłać żądania do dowolnych lokalizacji, w tym do usług wewnętrznych.
- CVE-2026-5428Średnie
Wtyczka Royal Elementor Addons dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) przez podpisy obrazów w widżecie Image Grid/Slider/Carousel w wersjach do 1.7.1056 włącznie. Wynika to z niewystarczającego escapowania wyjścia w funkcji render_post_thumbnail(), gdzie użyto wp_kses_post() zamiast esc_attr() dla atrybutu alt. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej na poziomie autora wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi stronę z złośliwym obrazem.
- CVE-2026-40763Średnie
Wtyczka Royal Elementor Addons firmy WP Royal w wersjach do 1.7.1056 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in WProyal Royal Elementor Addons royal-elementor-addons allows DOM-Based XSS.This issue affects Royal Elementor Addons: from n/a through 1.7.1069.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS