CVE-2026-12276

ŚrednieCVSS 5.3

Opublikowano: 10/07/2026(UTC)Zaktualizowano: 10/07/2026(UTC)Przetłumaczono: 11/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka LA-Studio Element Kit dla Elementor WordPress przed wersją 1.6.1 nie sprawdza, czy rejestracja użytkowników jest włączona na stronie przed utworzeniem konta przez jedną z jej nieuwierzytelnionych akcji AJAX. Umożliwia to nieuwierzytelnionym atakującym rejestrację nowych kont, nawet gdy rejestracja jest wyłączona globalnie.

Ocena ryzyka

Organizacja może zostać zalana fałszywymi kontami użytkowników, co zwiększa ryzyko ataków socjotechnicznych, spamowania lub eskalacji uprawnień, jeśli konta uzyskają dostęp do wrażliwych funkcji.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę LA-Studio Element Kit do wersji 1.6.1 lub nowszej, która zawiera poprawkę uniemożliwiającą rejestrację bez sprawdzenia ustawień witryny.

Inne podatności w LA-Studio Element Kit

CVE-2026-15338Wysokie
Wtyczka LA-Studio Element Kit dla Elementor do WordPressa jest podatna na lokalne dołączanie plików (LFI) we wszystkich wersjach do 1.6.1 włącznie, poprzez funkcję get_type_template. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym dołączanie i wykonywanie dowolnych plików .php na serwerze.

Oryginalny opis (angielski, źródło NVD)

The LA-Studio Element Kit for Elementor WordPress plugin before 1.6.1 does not check whether user registration is enabled on the site before creating an account through one of its unauthenticated AJAX actions, allowing unauthenticated attackers to register new accounts even when registration has been disabled site-wide.