CVE-2026-18039
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.7.2 nie zapobiega nadpisywaniu zarezerwowanych atrybutów konta przez pola rejestracyjne dostarczane przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym rejestrację konta z dowolną rolą, w tym administratorem, na stronach, gdzie skonfigurowano niestandardowe pole profilu z określoną etykietą.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać konto administratora, co prowadzi do pełnego przejęcia strony WordPress. Może to skutkować kradzieżą danych, defacementem lub wykorzystaniem serwera do dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę Essential Addons for Elementor do wersji 6.7.2 lub nowszej. Sprawdź, czy nie istnieją już konta z nieoczekiwanymi rolami i usuń je.
Inne podatności w Essential Addons for Elementor WordPress plugin
Zobacz wszystkie- CVE-2026-110537Nieznane
Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie weryfikuje, czy administrator może zarządzać konkretnymi kontami użytkowników objętymi funkcją zatwierdzania logowania, sprawdzając jedynie uprawnienie na poziomie witryny. W WordPress Multisite może to pozwolić administratorowi podstrony zmieniać stan zatwierdzenia i logowania kont należących do innych witryn w sieci.
- CVE-2026-110510Nieznane
Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie waliduje ustawienia tagu HTML niektórych swoich widgetów przed użyciem go do budowy znaczników. Może to pozwolić użytkownikom z rolą author i wyższą na wstrzykiwanie elementów iframe i formularzy do opublikowanych stron.
Oryginalny opis (angielski, źródło NVD)
The Essential Addons for Elementor WordPress plugin before 6.7.2 does not prevent user-supplied registration fields from overwriting reserved account attributes, allowing unauthenticated attackers to register an account with an arbitrary role, including administrator, on sites where a custom profile field with a particular label has been configured.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS