CVE-2026-11328
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Exclusive Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr tytułu posta we wszystkich wersjach do 2.7.9.8 włącznie. Podatność wynika z niewystarczającej sanitacji wejścia i braku odpowiedniego kodowania wyjścia.
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem na poziomie Współautora lub wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Exclusive Addons for Elementor do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, ogranicz dostęp do funkcji edycji postów tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Exclusive Addons for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the post title parameter in all versions up to, and including, 2.7.9.8 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.