CVE-2026-92924
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Unlimited Elements for Elementor dla WordPressa przed wersją 2.0.21 nie sprawdza, czy żądanie renderowania widżetu pochodzi od uprawnionego użytkownika. Umożliwia to użytkownikom z rolą tak niską jak subskrybent (a od wersji 2.0.18 wymagany jest współtwórca lub wyższy) wykonanie dowolnych shortcode'ów WordPressa na stronie.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może wykonać dowolne shortcode'y, co może prowadzić do ujawnienia danych, eskalacji uprawnień lub innych niepożądanych działań na stronie.
Rekomendacja
Zaktualizuj wtyczkę Unlimited Elements for Elementor do wersji 2.0.21 lub nowszej i zweryfikuj, czy renderowanie widżetów wymaga odpowiednich uprawnień.
Inne podatności w Unlimited Elements for Elementor WordPress Plugin
Zobacz wszystkie- CVE-2026-92923Nieznane
Wtyczka WordPress Unlimited Elements for Elementor w wersji przed 2.0.21 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Umożliwia to użytkownikom z rolą subskrybenta przeprowadzenie ataków blind SQL injection i odczyt dowolnych danych z bazy danych. Wersja 2.0.18 usunęła dostęp na poziomie subskrybenta, więc od 2.0.18 problem wymaga roli współpracownika lub wyższej.
- CVE-2026-85017Wysokie
Wtyczka WordPress Unlimited Elements For Elementor przed wersją 2.0.20 nie wykonuje sprawdzenia uprawnień w akcji AJAX i deserializuje kontrolowane przez atakującego dane, co pozwala uwierzytelnionym atakującym z poziomem subskrybenta wstrzykiwać dowolne obiekty PHP. Częściowa poprawka w wersjach 2.0.18–2.0.19 podniosła wymagane uprawnienie do poziomu edytora, a problem został w pełni rozwiązany w wersji 2.0.20.
Oryginalny opis (angielski, źródło NVD)
The Unlimited Elements for Elementor WordPress plugin before 2.0.21 does not check that a request to render widget output comes from a user allowed to make it, allowing users with a role as low as subscriber to have arbitrary WordPress shortcodes executed on the site. Version 2.0.18 removed the subscriber-level access, so from 2.0.18 onward the issue requires a Contributor role or above.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS