CVE-2026-13402
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Royal Addons dla Elementor do WordPressa przed wersją 1.7.1063 nie sprawdza statusu wpisów elementów menu ani szablonów, do których się odnoszą w jednym z punktów końcowych REST. Umożliwia to nieuwierzytelnionym użytkownikom pobranie wyrenderowanej treści HTML prywatnych lub szkicowych szablonów Elementor, powiązanych z niepublicznymi elementami menu nawigacyjnego.
Ocena ryzyka
Organizacja naraża się na wyciek poufnych treści, takich jak projekty stron lub szkice, które mogą zawierać wrażliwe dane lub nieukończone funkcjonalności, co może prowadzić do naruszenia poufności i integralności informacji.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Royal Addons dla Elementor do wersji 1.7.1063 lub nowszej, która zawiera poprawkę zabezpieczającą przed nieautoryzowanym dostępem do prywatnych szablonów.
Inne podatności w Royal Addons for Elementor
Zobacz wszystkie- CVE-2026-19226Średnie
Wtyczka Royal Addons for Elementor dla WordPressa przed wersją 1.7.1066 nie waliduje niektórych ustawień widżetów przed wypisaniem ich wewnątrz atrybutu HTML, co może pozwolić użytkownikom z rolą Współautor (Contributor) i wyżej na przeprowadzanie ataków Stored Cross-Site Scripting.
- CVE-2026-13406Średnie
Wtyczka Royal Addons for Elementor przed wersją 1.7.1066 nie sprawdza uprawnień ani nonce przed zwróceniem danych taksonomii dla dowolnej taksonomii podanej przez użytkownika. Pozwala to nieuwierzytelnionym użytkownikom na ujawnienie nazw i identyfikatorów terminów należących do niepublicznych taksonomii.
- CVE-2026-13404Średnie
Wtyczka Royal Addons for Elementor przed wersją 1.7.1066 nie sprawdza uprawnień ani własności (polegając tylko na publicznie dostępnym nonce) przed zapisem danych meta posta dotyczących polubień i śledzenia odwiedzin dla dowolnego ID posta. Pozwala to nieuwierzytelnionym użytkownikom na modyfikację tych metadanych na dowolnym poście, w tym prywatnym i szkicu.
- CVE-2026-13405Średnie
Wtyczka Royal Addons for Elementor WordPress przed wersją 1.7.1066 nieprawidłowo sanityzuje znaczniki niestandardowych widżetów przed zapisaniem ich do pliku, który jest później wykonywany, co pozwala użytkownikom z uprawnieniem manage_options (oraz w WordPress Multisite administratorom podstron niebędącym superadminami, którzy nie mają innych uprawnień do wykonywania kodu) na wykonanie dowolnego kodu PHP.
- CVE-2026-19217Średnie
Wtyczka Royal Addons for Elementor dla WordPressa przed wersją 1.7.1065 nie waliduje ustawienia widgetu używanego do budowy tagu HTML przed jego wypisaniem, co może pozwolić użytkownikom z rolą Contributor i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting.
- CVE-2026-0664Średnie
Wtyczka Royal Addons for Elementor dla WordPress do wersji 1.7.1049 ma podatność na trwałe XSS przez parametr 'button_text'. Atak wymaga uwierzytelnienia na poziomie contributor lub wyższym.
Oryginalny opis (angielski, źródło NVD)
The Royal Addons for Elementor WordPress plugin before 1.7.1063 does not check the post status of menu items or the templates they reference in one of its REST endpoints, allowing unauthenticated users to retrieve the rendered HTML content of private or draft Elementor templates linked from non-public navigation menu items.