CVE-2026-110508
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie stosuje wymogu zatwierdzenia przez administratora do kont rejestrowanych przez przepływ jednorazowego hasła e-mail. Gdy obie funkcje są włączone, niezalogowani użytkownicy mogą zarejestrować się i zalogować bez zatwierdzenia przez administratora.
Ocena ryzyka
Niezatwierdzone konta mogą uzyskać dostęp do funkcji witryny przeznaczonych dla zweryfikowanych użytkowników, co może prowadzić do nadużyć, spamu lub nieautoryzowanego dostępu do treści. Ryzyko jest szczególnie istotne w witrynach, które polegają na ręcznej weryfikacji kont.
Rekomendacja
Zaktualizuj wtyczkę Essential Addons for Elementor do wersji 6.8.7 lub nowszej. Do czasu aktualizacji rozważ wyłączenie przepływu jednorazowego hasła e-mail lub wymogu zatwierdzenia, jeśli nie są jednocześnie potrzebne.
Inne podatności w Essential Addons for Elementor WordPress plugin
Zobacz wszystkie- CVE-2026-110537Niskie
Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie weryfikuje, czy administrator może zarządzać konkretnymi kontami użytkowników objętymi funkcją zatwierdzania logowania, sprawdzając jedynie uprawnienie na poziomie witryny. W WordPress Multisite może to pozwolić administratorowi podstrony zmieniać stan zatwierdzenia i logowania kont należących do innych witryn w sieci.
- CVE-2026-110510Niskie
Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie waliduje ustawienia tagu HTML niektórych swoich widgetów przed użyciem go do budowy znaczników. Może to pozwolić użytkownikom z rolą author i wyższą na wstrzykiwanie elementów iframe i formularzy do opublikowanych stron.
- CVE-2026-18039Wysokie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.7.2 nie zapobiega nadpisywaniu zarezerwowanych atrybutów konta przez pola rejestracyjne dostarczane przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym rejestrację konta z dowolną rolą, w tym administratorem, na stronach, gdzie skonfigurowano niestandardowe pole profilu z określoną etykietą.
Oryginalny opis (angielski, źródło NVD)
The Essential Addons for Elementor WordPress plugin before 6.8.7 does not apply its administrator approval requirement to accounts registered through its email one-time-password flow, which could allow unauthenticated users to register and log in without being approved by an administrator when both features are enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS