CVE-2026-84903
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza żadnych kontroli uprawnień, statusu wpisu ani hasła przed renderowaniem treści wpisu dostarczonego przez użytkownika, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na czytanie treści prywatnych, szkiców, oczekujących i chronionych hasłem wpisów, do których nie są upoważnieni.
Ocena ryzyka
Ryzyko obejmuje ujawnienie poufnych treści, które mogą być w trakcie przygotowania lub chronione, co może prowadzić do wycieku informacji i naruszenia poufności.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 51.1.81 lub nowszej oraz ograniczenie dostępu do funkcji renderowania treści.
Inne podatności w King Addons for Elementor
Zobacz wszystkie- CVE-2026-66575Średnie
Wtyczka King Addons for Elementor w wersjach do 51.1.81 włącznie zawiera podatność typu Insecure Direct Object References (IDOR). Nieuwierzytelniony atakujący może uzyskać dostęp do obiektów, do których nie powinien mieć dostępu.
- CVE-2026-84904Niskie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza kontroli autoryzacji per obiekt dla grupy akcji optymalizacji obrazów, opierając się tylko na ogólnej zdolności, którą mają również użytkownicy o niższych uprawnieniach, i nie potwierdza własności docelowego obiektu, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie autora i wyżej na ujawnianie bezwzględnych ścieżek plików, nadpisywanie bajtów oraz ponowne odwoływanie się w całej witrynie do multimediów należących do innych użytkowników, w tym administratorów.
- CVE-2026-84902Średnie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza kontroli autoryzacji na poziomie obiektu podczas importowania treści szablonu do strony, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na nadpisywanie treści Elementor dowolnych wpisów i stron, w tym należących do administratorów, oraz na wstrzykiwanie JavaScript przez ustawienie widgetu, które jest wyprowadzane bez escapowania, co prowadzi do Stored Cross-Site Scripting wykonującego się w sesji każdego użytkownika odwiedzającego dotkniętą stronę.
- CVE-2026-84896Średnie
Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.77 nie escapuje ustawienia stylu wyświetlania widgetu przed wypisaniem go w atrybucie HTML, umożliwiając użytkownikom z rolą współautora lub wyższą przechowywanie JavaScriptu, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym zalogowanych administratorów.
- CVE-2026-15284Średnie
Wtyczka King Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'form_page_id' w wersjach do 51.1.62 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych w funkcji add_to_submissions() oraz braku odpowiedniego kodowania wyjścia w funkcji king_addons_submissions_custom_column_content().
- CVE-2026-48870Średnie
Wtyczka King Addons dla Elementor w wersjach do 51.1.62 zawiera podatność typu Cross Site Scripting (XSS) dla subskrybentów.
Oryginalny opis (angielski, źródło NVD)
The King Addons for Elementor WordPress plugin before 51.1.81 does not perform any capability, post-status, or password check before rendering the content of a user-supplied post, allowing users with Contributor-level access and above to read the content of private, draft, pending, and password-protected posts they are not authorized to access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS