CVE-2026-8825
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Elementor Website Builder dla WordPressa przed wersją 4.1.4 nieprawidłowo sprawdza uprawnienia użytkowników przed zwróceniem danych postów przez jeden z endpointów REST. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie Współautora i wyższym odczytanie tytułu, treści i metadanych prywatnych postów, prywatnych stron oraz szkiców innych użytkowników (w tym administratorów).
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych treści, takich jak nieopublikowane projekty, prywatne strony czy szkice administratorów, co może prowadzić do ujawnienia wrażliwych informacji biznesowych lub planów.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Elementor Website Builder do wersji 4.1.4 lub nowszej, która zawiera poprawkę usuwającą tę lukę.
Inne podatności w Elementor Website Builder
Zobacz wszystkie- CVE-2026-57619Średnie
Wtyczka Elementor Website Builder w wersji 4.1.3 i starszych zawiera podatność na ujawnienie wrażliwych danych współtwórców. Luka ta może pozwolić atakującemu na dostęp do poufnych informacji przechowywanych przez wtyczkę.
- CVE-2026-49782Średnie
Brak autoryzacji we wtyczce Elementor Website Builder dla WordPressa (wersje do 4.1.0) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Elementor Website Builder WordPress plugin before 4.1.4 does not properly check user permissions before returning post data through one of its REST endpoints, allowing authenticated users with Contributor-level access and above to retrieve the title, body and metadata of private posts, private pages and drafts authored by other users (including administrators).