CVE-2026-18561
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka Unlimited Elements For Elementor dla WordPressa (wersje do 2.0.16 włącznie) jest podatna na wstrzykiwanie SQL poprzez parametr 'addontype' z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL w funkcji getWhereString(). Nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL w celu wyodrębnienia wrażliwych informacji z bazy danych.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykraść poufne dane z bazy danych, w tym dane użytkowników i konfigurację witryny.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 2.0.16 lub ją wyłącz, jeśli poprawka nie jest dostępna.
Inne podatności w Unlimited Elements For Elementor
Zobacz wszystkie- CVE-2026-66608Średnie
Wtyczka Unlimited Elements For Elementor w wersjach do 2.0.19 włącznie zawiera podatność typu Server Side Request Forgery (SSRF). Użytkownik z uprawnieniami Contributor może wymusić na serwerze wykonanie żądań do dowolnych zasobów.
- CVE-2026-77150Średnie
Wtyczka Unlimited Elements For Elementor dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'data[name]' we wszystkich wersjach do 2.0.16 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych, a akcja AJAX show_preview jest zarejestrowana dla nieuwierzytelnionych użytkowników i chroniona tylko przez nonce, który atakujący może pobrać z publicznie dostępnej strony.
- CVE-2026-84820Wysokie
Podatność typu Cross Site Scripting (XSS) bez uwierzytelnienia w wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersjach do 2.0.17. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony, który wykona się w przeglądarce ofiary.
- CVE-2026-75586Średnie
Wtyczka Unlimited Elements For Elementor dla WordPressa jest podatna na odbity atak XSS przez parametr 'formData[id]' we wszystkich wersjach do 2.0.17 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link. Dodatkowo, handler AJAX po stronie frontendu jest zarejestrowany na publicznym zdarzeniu 'wp' bez sprawdzania nonce, uprawnień czy referera, a surowa wartość id jest interpolowana do komunikatu wyjątku i zwracana bez escapowania.
- CVE-2026-85304Średnie
Wtyczka Unlimited Elements For Elementor (Free Widgets, Addons, Templates) do wersji 2.0.17 ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-28146Średnie
Podatność w wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersjach do 2.0.14 umożliwia użytkownikowi z rolą Współautor (Contributor) pobieranie dowolnych plików z serwera.
- CVE-2026-28147Średnie
Brak autoryzacji we wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.0.15 włącznie.
- CVE-2026-10081Wysokie
Wtyczka Unlimited Elements For Elementor dla WordPress przed wersją 2.0.11 nie oczyszcza treści recenzji Google pobieranych z Serp API przed wyświetleniem w widżecie Google Reviews. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie trwałego XSS poprzez złośliwą recenzję na liście Google.
- CVE-2026-57718Wysokie
Wtyczka Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersji do 2.0.12 zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy kod JavaScript do odpowiedzi serwera, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-48837Wysokie
Wtyczka Unlimited Elements For Elementor do wersji 2.0.8 włącznie jest podatna na blind SQL Injection. Atakujący może wstrzykiwać zapytania SQL przez niesanitizowane parametry, co pozwala na nieautoryzowany dostęp do bazy danych.
Oryginalny opis (angielski, źródło NVD)
The Unlimited Elements For Elementor plugin for WordPress is vulnerable to SQL Injection via the 'addontype' parameter in versions up to, and including, 2.0.16. This is due to insufficient escaping on the user-supplied parameter and the lack of sufficient preparation on the existing SQL query in the getWhereString() function; when the parameter is supplied as an array, element zero is used verbatim as the SQL comparison operator and concatenated into the WHERE clause without sanitization, while normalizeAjaxInputData() strips WordPress's magic_quotes protection from the value. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS