CVE-2026-84896
NieznaneStreszczenie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.77 nie escapuje ustawienia stylu wyświetlania widgetu przed wypisaniem go w atrybucie HTML, umożliwiając użytkownikom z rolą współautora lub wyższą przechowywanie JavaScriptu, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym zalogowanych administratorów.
Ocena ryzyka
Przechowywany XSS może prowadzić do przejęcia kont administratora, kradzieży danych lub modyfikacji treści witryny przez nieautoryzowanych użytkowników.
Rekomendacja
Zaktualizuj wtyczkę King Addons for Elementor do wersji 51.1.77 lub nowszej, która zawiera poprawkę escapowania ustawień stylu.
Inne podatności w King Addons for Elementor
Zobacz wszystkie- CVE-2026-15284Średnie
Wtyczka King Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'form_page_id' w wersjach do 51.1.62 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych w funkcji add_to_submissions() oraz braku odpowiedniego kodowania wyjścia w funkcji king_addons_submissions_custom_column_content().
- CVE-2026-48870Średnie
Wtyczka King Addons dla Elementor w wersjach do 51.1.62 zawiera podatność typu Cross Site Scripting (XSS) dla subskrybentów.
Oryginalny opis (angielski, źródło NVD)
The King Addons for Elementor WordPress plugin before 51.1.77 does not escape a widget display-style setting before outputting it in an HTML attribute, allowing users with Contributor-level access and above to store JavaScript that executes in the browser of any visitor to the affected page, including logged-in administrators.