CVE-2026-28146
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność w wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersjach do 2.0.14 umożliwia użytkownikowi z rolą Współautor (Contributor) pobieranie dowolnych plików z serwera.
Ocena ryzyka
Atakujący z uprawnieniami współautora może uzyskać dostęp do poufnych plików, co może prowadzić do wycieku danych lub dalszej kompromitacji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji, która usuwa tę podatność, oraz ograniczenie uprawnień użytkowników.
Inne podatności w Unlimited Elements For Elementor
Zobacz wszystkie- CVE-2026-28147Średnie
Brak autoryzacji we wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.0.15 włącznie.
- CVE-2026-10081Wysokie
Wtyczka Unlimited Elements For Elementor dla WordPress przed wersją 2.0.11 nie oczyszcza treści recenzji Google pobieranych z Serp API przed wyświetleniem w widżecie Google Reviews. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie trwałego XSS poprzez złośliwą recenzję na liście Google.
- CVE-2026-57718Wysokie
Wtyczka Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersji do 2.0.12 zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy kod JavaScript do odpowiedzi serwera, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-48837Wysokie
Wtyczka Unlimited Elements For Elementor do wersji 2.0.8 włącznie jest podatna na blind SQL Injection. Atakujący może wstrzykiwać zapytania SQL przez niesanitizowane parametry, co pozwala na nieautoryzowany dostęp do bazy danych.
- CVE-2023-3295Wysokie
Wtyczka Unlimited Elements For Elementor dla WordPress jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu plików w funkcjonalności menedżera plików w wersjach do 1.5.66 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie współtwórcy i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.
Oryginalny opis (angielski, źródło NVD)
Contributor Arbitrary File Download in Unlimited Elements For Elementor (Free Widgets, Addons, Templates) <= 2.0.14 versions.