CVE-2026-12906

Wtyczka RTMKit w wersjach do 2.1.5 włącznie jest podatna na Cross Site Request Forgery (CSRF). Użytkownik z rolą Subscriber może zostać nakłoniony do wykonania niechcianych akcji w aplikacji.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w RTMKit w wersjach do 2.1.5. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Wstrzyknięcie obiektów PHP przez użytkownika z rolą contributor w RTMKit w wersjach do 2.1.5. Użytkownik może wstrzyknąć złośliwe obiekty PHP.

Wtyczka RTMKit dla WordPressa przed wersją 2.0.9 nie przeprowadza prawidłowej kontroli uprawnień w jednej z akcji AJAX dotyczących kreatora szablonów. Użytkownicy z rolą Autora lub wyższą mogą tworzyć i aktywować szablon obejmujący całą witrynę, nadpisując nagłówek, stopkę lub inne globalne obszary widoczne dla wszystkich odwiedzających, co normalnie jest zarezerwowane dla administratorów.

Wtyczka RTMKit (rometheme-for-elementor) dla WordPressa do wersji 2.0.7 włącznie zawiera podatność na lokalne dołączanie plików (LFI). Problem wynika z niewystarczającej walidacji ścieżki w parametrze 'template' w punkcie końcowym AJAX render_templates, który jest używany bezpośrednio w instrukcji require/include bez sanityzacji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyższym dołączanie i wykonywanie plików na serwerze kończących się na _templates.php, co pozwala na wykonanie dowolnego kodu PHP w tych plikach.

Wtyczka RTMKit dla WordPressa do wersji 2.0.7 zawiera podatność na trwałe ataki XSS w widżecie Advanced Heading. Wynika to z braku odpowiedniego kodowania wyjścia parametru 'Background Text' w funkcji render(), co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym na wstrzyknięcie dowolnego skryptu.