CVE-2026-13392

WysokieCVSS 7.2

Opublikowano: 31/07/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Wtyczka ElementsKit Elementor Addons dla WordPressa przed wersją 3.10.01 nie zapobiega zapisaniu definicji niestandardowego widgetu przez użytkownika z uprawnieniami administracyjnymi bezpośrednio do wygenerowanego pliku PHP, który jest następnie wykonywany. Pozwala to na uruchomienie dowolnego kodu PHP na serwerze. W sieci multisite administrator podstrony (bez uprawnień do edycji plików) może uzyskać dostęp do wykonywania kodu na poziomie hosta.

Ocena ryzyka

Atakujący może przejąć kontrolę nad serwerem, wykraść dane lub zainstalować backdoora.

Rekomendacja

Zaktualizuj wtyczkę ElementsKit Elementor Addons do wersji 3.10.01 lub nowszej.

Inne podatności w ElementsKit Elementor Addons

CVE-2026-13393Niskie
Wtyczka ElementsKit Elementor Addons dla WordPressa przed wersją 3.10.01 nie oczyszcza ani nie koduje ustawień elementów menu mega-menu przed ich zapisaniem i wyświetleniem na stronie. Nie wymaga również uprawnienia unfiltered_html do ich zapisania, co pozwala użytkownikom z uprawnieniami administracyjnymi na przechowywanie złośliwego JavaScriptu. W sieci multisite umożliwia to administratorowi podstrony (bez unfiltered_html) umieszczenie trwałego ataku XSS, który wykonuje się w sesjach super administratora sieci i odwiedzających.

Oryginalny opis (angielski, źródło NVD)

The ElementsKit Elementor Addons WordPress plugin before 3.10.01 does not prevent a custom-widget definition saved by a user with administrative capabilities from being written verbatim into a generated PHP file that the ElementsKit Elementor Addons WordPress plugin before 3.10.01 subsequently executes, allowing arbitrary PHP code to run on the server; on a multisite network this lets a non-super subsite Administrator, who is otherwise denied code/file editing, reach host-level code execution beyond the privileges the network grants them.