CVE-2026-15155
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Wtyczka Essential Addons for Elementor do WordPressa jest podatna na przejęcie konta administratora poprzez wstrzyknięcie nagłówka e-mail. Podatność występuje we wszystkich wersjach do 6.6.10 włącznie i wynika z braku walidacji po stronie serwera ustawienia widżetu logowania/rejestracji, które jest używane do konstruowania nagłówków wychodzących e-maili. Atakujący z dostępem na poziomie Współpracownika lub wyższym może wstrzyknąć nagłówek Bcc, aby otrzymać kopię linku do resetowania hasła administratora i przejąć jego konto.
Ocena ryzyka
Ryzyko dla organizacji jest krytyczne, ponieważ uwierzytelniony atakujący z niskimi uprawnieniami może przejąć konto administratora WordPressa, co prowadzi do pełnej kompromitacji strony i potencjalnego dostępu do danych wrażliwych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Essential Addons for Elementor do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się ograniczenie uprawnień użytkowników i monitorowanie nietypowych działań związanych z resetowaniem haseł.
Inne podatności w Essential Addons for Elementor
Zobacz wszystkie- CVE-2026-6459Średnie
Wtyczka Essential Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) w widżecie Kalendarza wydarzeń. Podatność występuje we wszystkich wersjach do 6.6.2 włącznie, z powodu niewystarczającego oczyszczania danych wejściowych i wyjściowych dla tytułów wydarzeń pochodzących z The Events Calendar.
- CVE-2026-7665Średnie
Wtyczka Essential Addons for Elementor dla WordPressa w wersjach do 6.6.4 włącznie zawiera podatność na ujawnienie informacji poprzez funkcję ajax_load_more. Niezautoryzowani atakujący mogą wyodrębnić dane z chronionych hasłem, prywatnych lub szkicowych postów.
- CVE-2026-81777Średnie
Podatność polegająca na obejściu uwierzytelniania przez spoofing w WPDeveloper Essential Addons for Elementor umożliwia podszywanie się pod tożsamość. Problem dotyczy wersji od n/a do 6.8.0.
- CVE-2026-13345Średnie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.6.10 nie wykonuje autoryzacji, sprawdzenia statusu ani widoczności podczas rozwiązywania produktów WooCommerce w funkcji porównywania produktów. Pozwala to nieuwierzytelnionym użytkownikom na ujawnienie tytułu, ceny i SKU produktów w wersji roboczej, oczekujących i prywatnych, które w przeciwnym razie są ukryte przed publicznym widokiem.
- CVE-2026-13344Średnie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.6.10 nie waliduje nazwy tagu HTML tytułu widżetu tabeli cen przed jego wyświetleniem. Pozwala to użytkownikom z dostępem na poziomie współautora i wyższym na wstrzyknięcie JavaScript, który zostanie wykonany (Stored Cross-Site Scripting) podczas przeglądania strony, w tym w sesji administratora podglądającego lub odwiedzającego post.
- CVE-2026-15145Średnie
Wtyczka Essential Addons for Elementor dla WordPressa jest podatna na trwałe ataki XSS poprzez widżet Fancy Text we wszystkich wersjach do 6.6.11 włącznie. Podatność wynika z niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów internetowych na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.
- CVE-2026-15156Średnie
Wtyczka Essential Addons for Elementor – Popular Elementor Templates & Widgets dla WordPress jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez ustawienia koloru globalnego Reading Progress we wszystkich wersjach do 6.6.11 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzykiwanie dowolnych skryptów internetowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.
- CVE-2026-25440Średnie
W wersjach Essential Addons for Elementor poniżej 6.6.0 występuje nieautoryzowany błąd kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Essential Addons for Elementor – Popular Elementor Templates & Widgets plugin for WordPress is vulnerable to Authenticated Account Takeover via Email Header Injection in all versions up to, and including, 6.6.10 This is due to insufficient server-side validation of a Login/Register widget setting used to construct outgoing email headers — the allowed-values restriction is enforced only in the client-side editor UI and not on the server, and the applied sanitization does not strip or encode CR/LF characters, allowing CRLF sequences stored in that setting to survive into raw mail headers. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject an additional Bcc header into the WordPress administrator's password-reset notification email, receive a copy of a valid administrator password-reset link, and achieve full administrator account takeover.