CVE-2026-97352
NieznaneStreszczenie
Wtyczka WordPress News Kit Addons For Elementor przed wersją 1.4.9 nie sprawdza uprawnień w jednej ze swoich akcji AJAX. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym instalację i aktywację określonej wtyczki z repozytorium WordPress.org.
Ocena ryzyka
Użytkownicy o niskich uprawnieniach mogą instalować i aktywować wtyczki, co może prowadzić do nieautoryzowanych zmian w konfiguracji witryny i potencjalnego wykorzystania do dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę News Kit Addons For Elementor do wersji 1.4.9 lub nowszej, która zawiera poprawkę sprawdzania uprawnień.
Inne podatności w News Kit Addons For Elementor
Zobacz wszystkie- CVE-2026-97353Nieznane
Wtyczka WordPress News Kit Addons For Elementor do wersji 1.4.7 nie sprawdza uprawnień ani własności przed aktualizacją metadanych postów w jednej z akcji AJAX. Umożliwia to użytkownikom z poziomem subskrybenta i wyższym zapis dowolnych metadanych pod wybranymi przez atakującego kluczami do dowolnego posta, w tym należącego do innych użytkowników.
- CVE-2026-11390Średnie
Wtyczka News Kit Addons For Elementor dla WordPressa do wersji 1.4.6 włącznie zawiera podatność na przechowywany atak XSS. Luka występuje w widżetach Site Logo Title i Single Author Box z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych.
Oryginalny opis (angielski, źródło NVD)
The News Kit Addons For Elementor WordPress plugin before 1.4.9 does not perform a capability check on one of its AJAX actions, allowing authenticated users with subscriber-level access and above to install and activate a specific News Kit Addons For Elementor WordPress plugin before 1.4.9 from the WordPress.org repository.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS