CVE-2026-18039
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.7.2 nie zapobiega nadpisywaniu zarezerwowanych atrybutów konta przez pola rejestracyjne dostarczane przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym rejestrację konta z dowolną rolą, w tym administratorem, na stronach, gdzie skonfigurowano niestandardowe pole profilu z określoną etykietą.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać konto administratora, co prowadzi do pełnego przejęcia strony WordPress. Może to skutkować kradzieżą danych, defacementem lub wykorzystaniem serwera do dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę Essential Addons for Elementor do wersji 6.7.2 lub nowszej. Sprawdź, czy nie istnieją już konta z nieoczekiwanymi rolami i usuń je.
Oryginalny opis (angielski, źródło NVD)
The Essential Addons for Elementor WordPress plugin before 6.7.2 does not prevent user-supplied registration fields from overwriting reserved account attributes, allowing unauthenticated attackers to register an account with an arbitrary role, including administrator, on sites where a custom profile field with a particular label has been configured.