CVE-2026-13405
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Royal Addons for Elementor WordPress przed wersją 1.7.1066 nieprawidłowo sanityzuje znaczniki niestandardowych widżetów przed zapisaniem ich do pliku, który jest później wykonywany, co pozwala użytkownikom z uprawnieniem manage_options (oraz w WordPress Multisite administratorom podstron niebędącym superadminami, którzy nie mają innych uprawnień do wykonywania kodu) na wykonanie dowolnego kodu PHP.
Ocena ryzyka
Osoba z uprawnieniami manage_options może wykonać dowolny kod PHP na serwerze, co może prowadzić do pełnego przejęcia witryny lub serwera.
Rekomendacja
Zaktualizuj wtyczkę Royal Addons for Elementor do wersji 1.7.1066 lub nowszej, która zawiera poprawkę.
Inne podatności w Royal Addons for Elementor
Zobacz wszystkie- CVE-2026-19226Średnie
Wtyczka Royal Addons for Elementor dla WordPressa przed wersją 1.7.1066 nie waliduje niektórych ustawień widżetów przed wypisaniem ich wewnątrz atrybutu HTML, co może pozwolić użytkownikom z rolą Współautor (Contributor) i wyżej na przeprowadzanie ataków Stored Cross-Site Scripting.
- CVE-2026-13406Średnie
Wtyczka Royal Addons for Elementor przed wersją 1.7.1066 nie sprawdza uprawnień ani nonce przed zwróceniem danych taksonomii dla dowolnej taksonomii podanej przez użytkownika. Pozwala to nieuwierzytelnionym użytkownikom na ujawnienie nazw i identyfikatorów terminów należących do niepublicznych taksonomii.
- CVE-2026-13404Średnie
Wtyczka Royal Addons for Elementor przed wersją 1.7.1066 nie sprawdza uprawnień ani własności (polegając tylko na publicznie dostępnym nonce) przed zapisem danych meta posta dotyczących polubień i śledzenia odwiedzin dla dowolnego ID posta. Pozwala to nieuwierzytelnionym użytkownikom na modyfikację tych metadanych na dowolnym poście, w tym prywatnym i szkicu.
- CVE-2026-19217Średnie
Wtyczka Royal Addons for Elementor dla WordPressa przed wersją 1.7.1065 nie waliduje ustawienia widgetu używanego do budowy tagu HTML przed jego wypisaniem, co może pozwolić użytkownikom z rolą Contributor i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting.
- CVE-2026-13402Średnie
Wtyczka Royal Addons dla Elementor do WordPressa przed wersją 1.7.1063 nie sprawdza statusu wpisów elementów menu ani szablonów, do których się odnoszą w jednym z punktów końcowych REST. Umożliwia to nieuwierzytelnionym użytkownikom pobranie wyrenderowanej treści HTML prywatnych lub szkicowych szablonów Elementor, powiązanych z niepublicznymi elementami menu nawigacyjnego.
- CVE-2026-0664Średnie
Wtyczka Royal Addons for Elementor dla WordPress do wersji 1.7.1049 ma podatność na trwałe XSS przez parametr 'button_text'. Atak wymaga uwierzytelnienia na poziomie contributor lub wyższym.
Oryginalny opis (angielski, źródło NVD)
The Royal Addons for Elementor WordPress plugin before 1.7.1066 does not correctly sanitise custom widget markup before writing it to a file that is later executed, allowing users with the manage_options capability (and, on WordPress Multisite, non-super subsite administrators who do not otherwise hold code-execution capabilities) to execute arbitrary PHP code.