CVE-2026-5137
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka RTMKit (rometheme-for-elementor) dla WordPressa do wersji 2.0.7 włącznie zawiera podatność na lokalne dołączanie plików (LFI). Problem wynika z niewystarczającej walidacji ścieżki w parametrze 'template' w punkcie końcowym AJAX render_templates, który jest używany bezpośrednio w instrukcji require/include bez sanityzacji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyższym dołączanie i wykonywanie plików na serwerze kończących się na _templates.php, co pozwala na wykonanie dowolnego kodu PHP w tych plikach.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości wykonania przez atakującego z uprawnieniami Współautora lub wyższym dowolnego kodu PHP z plików _templates.php na serwerze, co może prowadzić do przejęcia kontroli nad witryną WordPress, kradzieży danych lub dalszej eskalacji ataku.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę RTMKit do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę lub ogranicz dostęp do punktu końcowego render_templates dla nieuprawnionych użytkowników.
Inne podatności w RTMKit
Zobacz wszystkie- CVE-2026-12907Niskie
Wtyczka RTMKit dla WordPressa przed wersją 2.0.9 nie przeprowadza prawidłowej kontroli uprawnień w jednej z akcji AJAX dotyczących kreatora szablonów. Użytkownicy z rolą Autora lub wyższą mogą tworzyć i aktywować szablon obejmujący całą witrynę, nadpisując nagłówek, stopkę lub inne globalne obszary widoczne dla wszystkich odwiedzających, co normalnie jest zarezerwowane dla administratorów.
- CVE-2026-12906Niskie
Wtyczka RTMKit dla WordPressa przed wersją 2.0.9 nie sprawdza uprawnień w jednej z akcji AJAX i bezpośrednio używa identyfikatora posta podanego w żądaniu, co pozwala użytkownikom z rolą co najmniej Współautora na odczyt tytułów prywatnych, szkiców, oczekujących, zaplanowanych i usuniętych postów innych użytkowników.
- CVE-2026-8351Średnie
Wtyczka RTMKit dla WordPressa do wersji 2.0.7 zawiera podatność na trwałe ataki XSS w widżecie Advanced Heading. Wynika to z braku odpowiedniego kodowania wyjścia parametru 'Background Text' w funkcji render(), co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym na wstrzyknięcie dowolnego skryptu.
Oryginalny opis (angielski, źródło NVD)
The RTMKit (rometheme-for-elementor) plugin for WordPress is vulnerable to Local File Inclusion in versions up to, and including, 2.0.7 This is due to insufficient path validation on the 'template' parameter in the render_templates AJAX endpoint, which is used directly in a require/include statement without sanitization. This makes it possible for authenticated attackers, with Contributor-level access and above, to include and execute files on the server ending in _templates.php, allowing the execution of any PHP code in those files.