CVE-2026-13407
ŚrednieCVSS 5.4Streszczenie
Wtyczka Royal Elementor Addons dla WordPressa przed wersją 1.7.1067 nieprawidłowo sanityzuje i nie escapuje wartości przesłanych przez widget formularza przed umieszczeniem ich w treści wiadomości e-mail z powiadomieniem dla administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego HTML do wiadomości e-mail wysyłanych do administratora witryny po przesłaniu formularza.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy HTML do wiadomości e-mail administratora, co może prowadzić do phishingu, kradzieży danych lub innych ataków wykorzystujących zaufanie do administratora.
Rekomendacja
Zaktualizuj wtyczkę Royal Elementor Addons do wersji 1.7.1067 lub nowszej, aby wyeliminować podatność.
Inne podatności w Royal Elementor Addons
Zobacz wszystkie- CVE-2026-17123Wysokie
Wtyczka Royal Elementor Addons dla WordPressa do wersji 1.7.1064 włącznie zawiera podatność na Server-Side Request Forgery (SSRF) w widżecie Form Builder. Atakujący z uprawnieniami Contributor może wysyłać żądania do dowolnych lokalizacji, w tym do usług wewnętrznych.
- CVE-2026-5428Średnie
Wtyczka Royal Elementor Addons dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) przez podpisy obrazów w widżecie Image Grid/Slider/Carousel w wersjach do 1.7.1056 włącznie. Wynika to z niewystarczającego escapowania wyjścia w funkcji render_post_thumbnail(), gdzie użyto wp_kses_post() zamiast esc_attr() dla atrybutu alt. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej na poziomie autora wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi stronę z złośliwym obrazem.
Oryginalny opis (angielski, źródło NVD)
The Royal Elementor Addons WordPress plugin before 1.7.1067 does not properly sanitize and escape values submitted through its form widget before including them in the body of administrator notification emails, allowing unauthenticated attackers to inject arbitrary HTML into emails sent to the site administrator on form submission.