CVE-2026-4803
WysokieStreszczenie
Wtyczka Royal Elementor Addons dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'status' w akcji AJAX wpr_update_form_action_meta we wszystkich wersjach do 1.7.1056 włącznie. Problem wynika z niewystarczającej sanitizacji danych wejściowych oraz ucieczki danych wyjściowych, w połączeniu z publicznie ujawnionym nonce, co umożliwia nieautoryzowany dostęp do obsługi AJAX.
Ocena ryzyka
Atakujący bez uwierzytelnienia mogą wstrzykiwać dowolne skrypty webowe na stronach, co stwarza poważne zagrożenie dla użytkowników odwiedzających te strony. Może to prowadzić do kradzieży danych lub przejęcia sesji użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wprowadzić dodatkowe mechanizmy zabezpieczające, takie jak weryfikacja nonce i poprawna sanitizacja danych wejściowych.
Inne podatności w Royal Elementor Addons plugin for WordPress
Zobacz wszystkie- CVE-2026-6229Wysokie
Wtyczka Royal Elementor Addons dla WordPressa jest podatna na atak typu Server-Side Request Forgery w wersjach do 1.7.1057 włącznie. Problem wynika z niewystarczającej walidacji adresów URL dostarczanych przez użytkowników w funkcji render_csv_data().
- CVE-2023-3709Średnie
Wtyczka Royal Elementor Addons dla WordPressa jest podatna na ujawnienie klucza API bez uwierzytelnienia w wersjach do 1.3.70 włącznie. Klucz API jest dodawany do kodu źródłowego każdej strony korzystającej z bloku MailChimp, co umożliwia nieautoryzowanym atakującym uzyskanie klucza API MailChimp.
Oryginalny opis (angielski, źródło NVD)
The Royal Elementor Addons plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'status' parameter in the wpr_update_form_action_meta AJAX action in all versions up to, and including, 1.7.1056. This is due to insufficient input sanitization and output escaping, combined with a publicly leaked nonce that allows unauthenticated access to the AJAX handler. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.