CVE-2026-84902
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza kontroli autoryzacji na poziomie obiektu podczas importowania treści szablonu do strony, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na nadpisywanie treści Elementor dowolnych wpisów i stron, w tym należących do administratorów, oraz na wstrzykiwanie JavaScript przez ustawienie widgetu, które jest wyprowadzane bez escapowania, co prowadzi do Stored Cross-Site Scripting wykonującego się w sesji każdego użytkownika odwiedzającego dotkniętą stronę.
Ocena ryzyka
Ryzyko obejmuje możliwość przejęcia kontroli nad treścią strony, wstrzyknięcie złośliwego skryptu, który może kraść dane lub przejąć sesje, oraz eskalację uprawnień.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 51.1.81 lub nowszej oraz ograniczenie uprawnień użytkowników z rolą współautora i wyżej.
Inne podatności w King Addons for Elementor
Zobacz wszystkie- CVE-2026-66575Średnie
Wtyczka King Addons for Elementor w wersjach do 51.1.81 włącznie zawiera podatność typu Insecure Direct Object References (IDOR). Nieuwierzytelniony atakujący może uzyskać dostęp do obiektów, do których nie powinien mieć dostępu.
- CVE-2026-84904Niskie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza kontroli autoryzacji per obiekt dla grupy akcji optymalizacji obrazów, opierając się tylko na ogólnej zdolności, którą mają również użytkownicy o niższych uprawnieniach, i nie potwierdza własności docelowego obiektu, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie autora i wyżej na ujawnianie bezwzględnych ścieżek plików, nadpisywanie bajtów oraz ponowne odwoływanie się w całej witrynie do multimediów należących do innych użytkowników, w tym administratorów.
- CVE-2026-84903Niskie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza żadnych kontroli uprawnień, statusu wpisu ani hasła przed renderowaniem treści wpisu dostarczonego przez użytkownika, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na czytanie treści prywatnych, szkiców, oczekujących i chronionych hasłem wpisów, do których nie są upoważnieni.
- CVE-2026-84896Średnie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.77 nie escapuje ustawienia stylu wyświetlania widgetu przed wypisaniem go w atrybucie HTML, umożliwiając użytkownikom z rolą współautora lub wyższą przechowywanie JavaScriptu, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym zalogowanych administratorów.
- CVE-2026-15284Średnie
Wtyczka King Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'form_page_id' w wersjach do 51.1.62 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych w funkcji add_to_submissions() oraz braku odpowiedniego kodowania wyjścia w funkcji king_addons_submissions_custom_column_content().
- CVE-2026-48870Średnie
Wtyczka King Addons dla Elementor w wersjach do 51.1.62 zawiera podatność typu Cross Site Scripting (XSS) dla subskrybentów.
Oryginalny opis (angielski, źródło NVD)
The King Addons for Elementor WordPress plugin before 51.1.81 does not perform an object-level authorization check when importing template content into a page, allowing users with contributor-level access and above to overwrite the Elementor content of arbitrary posts and pages, including those owned by administrators, and to inject JavaScript through a widget setting that is output without escaping, resulting in Stored Cross-Site Scripting that executes in the session of any user who views the affected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS