CVE-2026-28147
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Brak autoryzacji we wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.0.15 włącznie.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do funkcji administracyjnych lub danych, co może prowadzić do eskalacji uprawnień lub wycieku informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji oraz weryfikację konfiguracji kontroli dostępu.
Inne podatności w Unlimited Elements For Elementor
Zobacz wszystkie- CVE-2026-28146Średnie
Podatność w wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersjach do 2.0.14 umożliwia użytkownikowi z rolą Współautor (Contributor) pobieranie dowolnych plików z serwera.
- CVE-2026-10081Wysokie
Wtyczka Unlimited Elements For Elementor dla WordPress przed wersją 2.0.11 nie oczyszcza treści recenzji Google pobieranych z Serp API przed wyświetleniem w widżecie Google Reviews. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie trwałego XSS poprzez złośliwą recenzję na liście Google.
- CVE-2026-57718Wysokie
Wtyczka Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersji do 2.0.12 zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy kod JavaScript do odpowiedzi serwera, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-48837Wysokie
Wtyczka Unlimited Elements For Elementor do wersji 2.0.8 włącznie jest podatna na blind SQL Injection. Atakujący może wstrzykiwać zapytania SQL przez niesanitizowane parametry, co pozwala na nieautoryzowany dostęp do bazy danych.
- CVE-2023-3295Wysokie
Wtyczka Unlimited Elements For Elementor dla WordPress jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu plików w funkcjonalności menedżera plików w wersjach do 1.5.66 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie współtwórcy i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Unlimited Elements Unlimited Elements For Elementor (Free Widgets, Addons, Templates) allows Exploiting Incorrectly Configured Access Control Security Levels. This issue affects Unlimited Elements For Elementor (Free Widgets, Addons, Templates): from n/a through 2.0.15.