CVE-2026-13345
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.6.10 nie wykonuje autoryzacji, sprawdzenia statusu ani widoczności podczas rozwiązywania produktów WooCommerce w funkcji porównywania produktów. Pozwala to nieuwierzytelnionym użytkownikom na ujawnienie tytułu, ceny i SKU produktów w wersji roboczej, oczekujących i prywatnych, które w przeciwnym razie są ukryte przed publicznym widokiem.
Ocena ryzyka
Nieuwierzytelnieni użytkownicy mogą uzyskać dostęp do poufnych informacji o produktach, takich jak ceny i SKU produktów niepublicznych, co może zaszkodzić strategii marketingowej i konkurencyjności.
Rekomendacja
Zaktualizuj wtyczkę Essential Addons for Elementor do wersji 6.6.10 lub nowszej, która wprowadza odpowiednie kontrole autoryzacji i widoczności.
Inne podatności w Essential Addons for Elementor
Zobacz wszystkie- CVE-2026-6459Średnie
Wtyczka Essential Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) w widżecie Kalendarza wydarzeń. Podatność występuje we wszystkich wersjach do 6.6.2 włącznie, z powodu niewystarczającego oczyszczania danych wejściowych i wyjściowych dla tytułów wydarzeń pochodzących z The Events Calendar.
- CVE-2026-7665Średnie
Wtyczka Essential Addons for Elementor dla WordPressa w wersjach do 6.6.4 włącznie zawiera podatność na ujawnienie informacji poprzez funkcję ajax_load_more. Niezautoryzowani atakujący mogą wyodrębnić dane z chronionych hasłem, prywatnych lub szkicowych postów.
- CVE-2026-81777Średnie
Podatność polegająca na obejściu uwierzytelniania przez spoofing w WPDeveloper Essential Addons for Elementor umożliwia podszywanie się pod tożsamość. Problem dotyczy wersji od n/a do 6.8.0.
- CVE-2026-13344Średnie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.6.10 nie waliduje nazwy tagu HTML tytułu widżetu tabeli cen przed jego wyświetleniem. Pozwala to użytkownikom z dostępem na poziomie współautora i wyższym na wstrzyknięcie JavaScript, który zostanie wykonany (Stored Cross-Site Scripting) podczas przeglądania strony, w tym w sesji administratora podglądającego lub odwiedzającego post.
- CVE-2026-15145Średnie
Wtyczka Essential Addons for Elementor dla WordPressa jest podatna na trwałe ataki XSS poprzez widżet Fancy Text we wszystkich wersjach do 6.6.11 włącznie. Podatność wynika z niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów internetowych na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.
- CVE-2026-15156Średnie
Wtyczka Essential Addons for Elementor – Popular Elementor Templates & Widgets dla WordPress jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez ustawienia koloru globalnego Reading Progress we wszystkich wersjach do 6.6.11 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzykiwanie dowolnych skryptów internetowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.
- CVE-2026-15155Wysokie
Wtyczka Essential Addons for Elementor do WordPressa jest podatna na przejęcie konta administratora poprzez wstrzyknięcie nagłówka e-mail. Podatność występuje we wszystkich wersjach do 6.6.10 włącznie i wynika z braku walidacji po stronie serwera ustawienia widżetu logowania/rejestracji, które jest używane do konstruowania nagłówków wychodzących e-maili. Atakujący z dostępem na poziomie Współpracownika lub wyższym może wstrzyknąć nagłówek Bcc, aby otrzymać kopię linku do resetowania hasła administratora i przejąć jego konto.
- CVE-2026-25440Średnie
W wersjach Essential Addons for Elementor poniżej 6.6.0 występuje nieautoryzowany błąd kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Essential Addons for Elementor WordPress plugin before 6.6.10 does not perform authorization, status, or visibility checks when resolving WooCommerce products in its product-comparison feature, allowing unauthenticated users to disclose the title, price, and SKU of draft, pending, and private products that are otherwise withheld from public view.