CVE-2026-5428
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Royal Elementor Addons dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) przez podpisy obrazów w widżecie Image Grid/Slider/Carousel w wersjach do 1.7.1056 włącznie. Wynika to z niewystarczającego escapowania wyjścia w funkcji render_post_thumbnail(), gdzie użyto wp_kses_post() zamiast esc_attr() dla atrybutu alt. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej na poziomie autora wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi stronę z złośliwym obrazem.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji i upewnij się, że wszystkie dane wyjściowe są odpowiednio escapowane, szczególnie w kontekście atrybutów HTML.
Inne podatności w Royal Elementor Addons
Zobacz wszystkie- CVE-2026-97255Średnie
Wtyczka Royal Elementor Addons do WordPressa zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Problem dotyczy wersji do 1.7.1069 włącznie.
- CVE-2026-97254Średnie
Wtyczka Royal Elementor Addons do WordPressa zawiera podatność Stored Cross-Site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 1.7.1069 włącznie.
- CVE-2026-112865Średnie
Wtyczka Royal Elementor Addons (do wersji 1.7.1069) zawiera podatność DOM-Based XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wykorzystać manipulację DOM po stronie klienta do wykonania złośliwego skryptu.
- CVE-2026-111851Wysokie
Wtyczka Royal Elementor Addons do WordPressa (do wersji 1.7.1068) zawiera podatność typu unsafe reflection, polegającą na użyciu danych kontrolowanych z zewnątrz do wyboru klas lub kodu. Może to prowadzić do wstrzyknięcia kodu.
- CVE-2026-13407Średnie
Wtyczka Royal Elementor Addons dla WordPressa przed wersją 1.7.1067 nieprawidłowo sanityzuje i nie escapuje wartości przesłanych przez widget formularza przed umieszczeniem ich w treści wiadomości e-mail z powiadomieniem dla administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego HTML do wiadomości e-mail wysyłanych do administratora witryny po przesłaniu formularza.
- CVE-2026-17123Wysokie
Wtyczka Royal Elementor Addons dla WordPressa do wersji 1.7.1064 włącznie zawiera podatność na Server-Side Request Forgery (SSRF) w widżecie Form Builder. Atakujący z uprawnieniami Contributor może wysyłać żądania do dowolnych lokalizacji, w tym do usług wewnętrznych.
- CVE-2026-40763Średnie
Wtyczka Royal Elementor Addons firmy WP Royal w wersjach do 1.7.1056 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Royal Elementor Addons plugin for WordPress is vulnerable to Stored Cross-Site Scripting via image captions in the Image Grid/Slider/Carousel widget in versions up to and including 1.7.1056. This is due to insufficient output escaping in the render_post_thumbnail() function, where wp_kses_post() is used instead of esc_attr() for the alt attribute context. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses a page with the malicious image displayed in the media grid widget.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS