CVE-2026-94662
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność typu Stored XSS w wtyczce Unlimited Elements For Elementor. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony internetowej umożliwia trwałe wstrzyknięcie złośliwego skryptu, który wykonuje się przy każdym wyświetleniu strony. Problem dotyczy wersji od n/a do 2.0.19.
Ocena ryzyka
Atakujący może trwale zainfekować strony internetowe, co prowadzi do kradzieży danych użytkowników, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania. Może to poważnie zaszkodzić reputacji organizacji i zaufaniu klientów.
Rekomendacja
Zaktualizuj wtyczkę Unlimited Elements For Elementor do najnowszej wersji zawierającej poprawkę. Regularnie przeglądaj i usuwaj podejrzane treści z witryn oraz stosuj zasady bezpieczeństwa, takie jak CSP.
Inne podatności w Unlimited Elements For Elementor
Zobacz wszystkie- CVE-2026-103341Średnie
Wtyczka Unlimited Elements For Elementor ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji do 2.0.20 włącznie.
- CVE-2026-103338Wysokie
Wtyczka Unlimited Elements For Elementor (Free Widgets, Addons, Templates) do WordPressa zawiera podatność SQL Injection (Blind SQL Injection) wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Problem dotyczy wersji od początku istnienia do 2.0.20 włącznie.
- CVE-2026-66608Średnie
Wtyczka Unlimited Elements For Elementor w wersjach do 2.0.19 włącznie zawiera podatność typu Server Side Request Forgery (SSRF). Użytkownik z uprawnieniami Contributor może wymusić na serwerze wykonanie żądań do dowolnych zasobów.
- CVE-2026-103355Krytyczne
Wtyczka Unlimited Elements For Elementor do wersji 2.0.20 zawiera podatność na ślepą iniekcję SQL. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych bez znajomości jej struktury.
- CVE-2026-95534Wysokie
Wtyczka WordPress Unlimited Elements For Elementor do wersji 2.0.19 jest podatna na deserializację niezaufanych danych, co pozwala na wstrzyknięcie obiektu.
- CVE-2026-105064Średnie
Podatność użycia zewnętrznie kontrolowanych danych wejściowych do wyboru klas lub kodu (Unsafe Reflection) w Unlimited Elements For Elementor (Free Widgets, Addons, Templates) unlimited-elements-for-elementor umożliwia wstrzyknięcie parametrów. Problem dotyczy wtyczki w wersjach od n/a do 2.0.22.
- CVE-2026-103344Wysokie
Wtyczka Unlimited Elements For Elementor do wersji 2.0.20 zawiera podatność na odbity atak XSS. Atakujący może wstrzyknąć złośliwy skrypt, który wykonuje się w przeglądarce ofiary.
- CVE-2026-103342Wysokie
Podatność na Reflected XSS w Unlimited Elements For Elementor do wersji 2.0.20. Brak neutralizacji danych wejściowych podczas generowania strony.
- CVE-2026-85568Średnie
Wtyczka Unlimited Elements for Elementor dla WordPressa przed wersją 2.0.21 nieprawidłowo obsługuje wartość wyszukiwania przed przepisaniem już przygotowanego zapytania SQL, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection i pobieranie niepublicznych treści, gdy powiązana opcja widgetu jest ustawiona inaczej niż domyślnie.
- CVE-2026-85015Średnie
Wtyczka Unlimited Elements for Elementor dla WordPressa przed wersją 2.0.21 nie sanityzuje ścieżek plików wewnątrz przesłanych archiwów przed ich rozpakowaniem, co pozwala uwierzytelnionym użytkownikom z dostępem do funkcji zarządzania zasobami (domyślnie administratorzy, lub edytorzy, gdy włączona jest niestandardowa opcja) na zapisywanie dowolnych plików, w tym wykonywalnych PHP, poza zamierzonym katalogiem przesyłania na serwerach, gdzie rozszerzenie PHP zip jest niedostępne, prowadząc do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Unlimited Elements Unlimited Elements For Elementor (Free Widgets, Addons, Templates) allows Stored XSS. This issue affects Unlimited Elements For Elementor (Free Widgets, Addons, Templates): from n/a through 2.0.19.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS