CVE-2026-48837
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka Unlimited Elements For Elementor do wersji 2.0.8 włącznie jest podatna na blind SQL Injection. Atakujący może wstrzykiwać zapytania SQL przez niesanitizowane parametry, co pozwala na nieautoryzowany dostęp do bazy danych.
Ocena ryzyka
Atakujący może odczytać, zmodyfikować lub usunąć dane z bazy WordPress, w tym dane użytkowników i konfigurację, co prowadzi do pełnej kompromitacji strony.
Rekomendacja
Należy zaktualizować wtyczkę Unlimited Elements For Elementor do wersji 2.0.9 lub nowszej, która zawiera poprawkę.
Inne podatności w Unlimited Elements For Elementor
Zobacz wszystkie- CVE-2026-28146Średnie
Podatność w wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersjach do 2.0.14 umożliwia użytkownikowi z rolą Współautor (Contributor) pobieranie dowolnych plików z serwera.
- CVE-2026-28147Średnie
Brak autoryzacji we wtyczce Unlimited Elements For Elementor (Free Widgets, Addons, Templates) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.0.15 włącznie.
- CVE-2026-10081Wysokie
Wtyczka Unlimited Elements For Elementor dla WordPress przed wersją 2.0.11 nie oczyszcza treści recenzji Google pobieranych z Serp API przed wyświetleniem w widżecie Google Reviews. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie trwałego XSS poprzez złośliwą recenzję na liście Google.
- CVE-2026-57718Wysokie
Wtyczka Unlimited Elements For Elementor (Free Widgets, Addons, Templates) w wersji do 2.0.12 zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy kod JavaScript do odpowiedzi serwera, który zostanie wykonany w przeglądarce ofiary.
- CVE-2023-3295Wysokie
Wtyczka Unlimited Elements For Elementor dla WordPress jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu plików w funkcjonalności menedżera plików w wersjach do 1.5.66 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie współtwórcy i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Unlimited Elements For Elementor allows Blind SQL Injection. This issue affects Unlimited Elements For Elementor: from n/a through 2.0.8.