CVE-2026-11905
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Elementor Website Builder dla WordPressa w wersjach do 4.2.3 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'keys_conversion_map'. Uwierzytelniony atakujący z uprawnieniami współautora lub wyższymi może odczytać pełną treść post_content oraz jawny tekst post_password prywatnych, roboczych, oczekujących i przyszłych wpisów należących do dowolnego autora, w tym administratorów i redaktorów.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może uzyskać dostęp do poufnych treści i haseł chronionych wpisów, co prowadzi do wycieku danych i możliwej eskalacji dostępu do treści redakcyjnych.
Rekomendacja
Zaktualizuj wtyczkę Elementor Website Builder do wersji nowszej niż 4.2.3, a jeśli to niemożliwe, ogranicz liczbę kont z uprawnieniami współautora i wyższymi.
Inne podatności w Elementor Website Builder
Zobacz wszystkie- CVE-2026-57619Średnie
Wtyczka Elementor Website Builder w wersji 4.1.3 i starszych zawiera podatność na ujawnienie wrażliwych danych współtwórców. Luka ta może pozwolić atakującemu na dostęp do poufnych informacji przechowywanych przez wtyczkę.
- CVE-2026-62062Wysokie
Wtyczka Elementor Website Builder jest podatna na atak Cross-Site Request Forgery (CSRF). Podatność dotyczy wersji od n/a do 4.3.1 włącznie.
- CVE-2026-8825Średnie
Wtyczka Elementor Website Builder dla WordPressa przed wersją 4.1.4 nieprawidłowo sprawdza uprawnienia użytkowników przed zwróceniem danych postów przez jeden z endpointów REST. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie Współautora i wyższym odczytanie tytułu, treści i metadanych prywatnych postów, prywatnych stron oraz szkiców innych użytkowników (w tym administratorów).
- CVE-2026-49782Średnie
Brak autoryzacji we wtyczce Elementor Website Builder dla WordPressa (wersje do 4.1.0) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2025-67588Średnie
Wtyczka Elementor Website Builder dla WordPressa w wersjach do 3.33.0 włącznie zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Elementor Website Builder – more than just a page builder plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 4.2.3 via the 'keys_conversion_map' parameter. This makes it possible for authenticated attackers, with contributor-level access and above, to extract the full post_content and plaintext post_password of private, draft, pending, and future posts belonging to any author, including Administrators and Editors.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS