CVE-2026-96835

Wtyczka King Addons for Elementor w wersjach do 51.1.86 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.

Wtyczka King Addons for Elementor w wersjach do 51.1.81 włącznie zawiera podatność typu Insecure Direct Object References (IDOR). Nieuwierzytelniony atakujący może uzyskać dostęp do obiektów, do których nie powinien mieć dostępu.

Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza kontroli autoryzacji per obiekt dla grupy akcji optymalizacji obrazów, opierając się tylko na ogólnej zdolności, którą mają również użytkownicy o niższych uprawnieniach, i nie potwierdza własności docelowego obiektu, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie autora i wyżej na ujawnianie bezwzględnych ścieżek plików, nadpisywanie bajtów oraz ponowne odwoływanie się w całej witrynie do multimediów należących do innych użytkowników, w tym administratorów.

Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza żadnych kontroli uprawnień, statusu wpisu ani hasła przed renderowaniem treści wpisu dostarczonego przez użytkownika, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na czytanie treści prywatnych, szkiców, oczekujących i chronionych hasłem wpisów, do których nie są upoważnieni.

Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza kontroli autoryzacji na poziomie obiektu podczas importowania treści szablonu do strony, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na nadpisywanie treści Elementor dowolnych wpisów i stron, w tym należących do administratorów, oraz na wstrzykiwanie JavaScript przez ustawienie widgetu, które jest wyprowadzane bez escapowania, co prowadzi do Stored Cross-Site Scripting wykonującego się w sesji każdego użytkownika odwiedzającego dotkniętą stronę.

Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.77 nie escapuje ustawienia stylu wyświetlania widgetu przed wypisaniem go w atrybucie HTML, umożliwiając użytkownikom z rolą współautora lub wyższą przechowywanie JavaScriptu, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym zalogowanych administratorów.

Wtyczka King Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'form_page_id' w wersjach do 51.1.62 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych w funkcji add_to_submissions() oraz braku odpowiedniego kodowania wyjścia w funkcji king_addons_submissions_custom_column_content().

Wtyczka King Addons dla Elementor w wersjach do 51.1.62 zawiera podatność typu Cross Site Scripting (XSS) dla subskrybentów.

Wtyczka King Addons for Elementor dla WordPressa jest podatna na wiele podatności Stored Cross-Site Scripting (XSS) w wersjach do 51.1.38 włącznie. Podatność wynika z niedostatecznego sanitizacji wejścia i braku odpowiedniego kodowania wyjścia w wielu widgetach i funkcjach. Atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę lub gdy administrator podgląda stronę w edytorze Elementora.

Wtyczka King Addons for Elementor dla WordPressa do wersji 51.1.39 włącznie zawiera podatność na przechowywany skrypt typu Cross-Site Scripting (XSS) w widgetach Pricing Slider, Pricing Calculator i Image Accordion. Wynika to z niewystarczającej sanityzacji wejścia i braku odpowiedniego escapowania wyjścia dla atrybutów dostarczanych przez użytkownika.