CVE-2026-13404
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Royal Addons for Elementor przed wersją 1.7.1066 nie sprawdza uprawnień ani własności (polegając tylko na publicznie dostępnym nonce) przed zapisem danych meta posta dotyczących polubień i śledzenia odwiedzin dla dowolnego ID posta. Pozwala to nieuwierzytelnionym użytkownikom na modyfikację tych metadanych na dowolnym poście, w tym prywatnym i szkicu.
Ocena ryzyka
Ryzyko obejmuje możliwość manipulowania danymi meta postów, co może prowadzić do zafałszowania statystyk, naruszenia integralności treści lub wpływu na widoczność postów. Atakujący może również zakłócić działanie funkcji śledzenia.
Rekomendacja
Zaleca się aktualizację wtyczki Royal Addons for Elementor do wersji 1.7.1066 lub nowszej. Należy również zweryfikować integralność danych meta postów i rozważyć dodanie dodatkowych zabezpieczeń.
Inne podatności w Royal Addons for Elementor
Zobacz wszystkie- CVE-2026-19226Średnie
Wtyczka Royal Addons for Elementor dla WordPressa przed wersją 1.7.1066 nie waliduje niektórych ustawień widżetów przed wypisaniem ich wewnątrz atrybutu HTML, co może pozwolić użytkownikom z rolą Współautor (Contributor) i wyżej na przeprowadzanie ataków Stored Cross-Site Scripting.
- CVE-2026-13406Średnie
Wtyczka Royal Addons for Elementor przed wersją 1.7.1066 nie sprawdza uprawnień ani nonce przed zwróceniem danych taksonomii dla dowolnej taksonomii podanej przez użytkownika. Pozwala to nieuwierzytelnionym użytkownikom na ujawnienie nazw i identyfikatorów terminów należących do niepublicznych taksonomii.
- CVE-2026-13405Średnie
Wtyczka Royal Addons for Elementor WordPress przed wersją 1.7.1066 nieprawidłowo sanityzuje znaczniki niestandardowych widżetów przed zapisaniem ich do pliku, który jest później wykonywany, co pozwala użytkownikom z uprawnieniem manage_options (oraz w WordPress Multisite administratorom podstron niebędącym superadminami, którzy nie mają innych uprawnień do wykonywania kodu) na wykonanie dowolnego kodu PHP.
- CVE-2026-19217Średnie
Wtyczka Royal Addons for Elementor dla WordPressa przed wersją 1.7.1065 nie waliduje ustawienia widgetu używanego do budowy tagu HTML przed jego wypisaniem, co może pozwolić użytkownikom z rolą Contributor i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting.
- CVE-2026-13402Średnie
Wtyczka Royal Addons dla Elementor do WordPressa przed wersją 1.7.1063 nie sprawdza statusu wpisów elementów menu ani szablonów, do których się odnoszą w jednym z punktów końcowych REST. Umożliwia to nieuwierzytelnionym użytkownikom pobranie wyrenderowanej treści HTML prywatnych lub szkicowych szablonów Elementor, powiązanych z niepublicznymi elementami menu nawigacyjnego.
- CVE-2026-0664Średnie
Wtyczka Royal Addons for Elementor dla WordPress do wersji 1.7.1049 ma podatność na trwałe XSS przez parametr 'button_text'. Atak wymaga uwierzytelnienia na poziomie contributor lub wyższym.
Oryginalny opis (angielski, źródło NVD)
The Royal Addons for Elementor WordPress plugin before 1.7.1066 does not perform any capability or ownership check (relying only on a publicly-scrapeable nonce) before writing like-count and visitor-tracking post meta keyed on an arbitrary post ID, allowing unauthenticated users to modify that metadata on any post, including private and draft posts.