CVE-2026-91046

ŚrednieCVSS 4.3

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress ElementsReady Addons for Elementor do wersji 6.7.2 nie wykonuje kontroli autoryzacji zatrzymujących wykonanie w kilku obsługiwaczach zapisu ustawień. Użytkownicy z poziomem dostępu subskrybenta i wyższym mogą nadpisać zapisane ustawienia wtyczki, w tym przechowywane dane uwierzytelniające API oraz konfigurację funkcji i szablonów.

Ocena ryzyka

Niski poziom uprawnień wystarcza do modyfikacji krytycznych ustawień i przechwycenia danych uwierzytelniających API, co może prowadzić do dalszej eskalacji uprawnień i naruszenia bezpieczeństwa witryny.

Rekomendacja

Zaktualizuj wtyczkę do wersji nowszej niż 6.7.2, jeśli jest dostępna, a do czasu aktualizacji ogranicz liczbę kont subskrybentów i monitoruj zmiany w ustawieniach wtyczki.

Inne podatności w ElementsReady Addons for Elementor WordPress plugin

CVE-2026-91047Średnie
Wtyczka WordPress ElementsReady Addons for Elementor do wersji 6.7.2 nieprawidłowo ogranicza dostęp do chronionych plików do pobrania produktów WooCommerce. Nieuwierzytelnieni użytkownicy mogą ominąć wymóg zapłaty i pobrać płatne pliki dowolnego produktu.

Oryginalny opis (angielski, źródło NVD)

The ElementsReady Addons for Elementor WordPress plugin through 6.7.2 does not perform authorization checks that halt execution in several of its settings-save handlers, allowing users with subscriber-level access and above to overwrite the ElementsReady Addons for Elementor WordPress plugin through 6.7.2's stored settings, including its stored API credentials and its feature and template configuration.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS