CVE-2026-97353
NieznaneStreszczenie
Wtyczka WordPress News Kit Addons For Elementor do wersji 1.4.7 nie sprawdza uprawnień ani własności przed aktualizacją metadanych postów w jednej z akcji AJAX. Umożliwia to użytkownikom z poziomem subskrybenta i wyższym zapis dowolnych metadanych pod wybranymi przez atakującego kluczami do dowolnego posta, w tym należącego do innych użytkowników.
Ocena ryzyka
Atakujący może nadpisać chronione metadane rdzenia i zmanipulować treści tworzone przez użytkowników o wyższych uprawnieniach, co prowadzi do naruszenia integralności danych i potencjalnych dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę News Kit Addons For Elementor do wersji nowszej niż 1.4.7, która zawiera poprawkę sprawdzania uprawnień i własności.
Inne podatności w News Kit Addons For Elementor
Zobacz wszystkie- CVE-2026-97352Nieznane
Wtyczka WordPress News Kit Addons For Elementor przed wersją 1.4.9 nie sprawdza uprawnień w jednej ze swoich akcji AJAX. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym instalację i aktywację określonej wtyczki z repozytorium WordPress.org.
- CVE-2026-11390Średnie
Wtyczka News Kit Addons For Elementor dla WordPressa do wersji 1.4.6 włącznie zawiera podatność na przechowywany atak XSS. Luka występuje w widżetach Site Logo Title i Single Author Box z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych.
Oryginalny opis (angielski, źródło NVD)
The News Kit Addons For Elementor WordPress plugin through 1.4.7 does not perform capability or ownership checks before updating post metadata in one of its authenticated AJAX actions, allowing users with subscriber-level access and above to write arbitrary post meta, under attacker-chosen keys, to any post including those owned by other users. This can be used to overwrite protected core metadata and tamper with content created by higher-privileged users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS