CVE-2026-110537
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie weryfikuje, czy administrator może zarządzać konkretnymi kontami użytkowników objętymi funkcją zatwierdzania logowania, sprawdzając jedynie uprawnienie na poziomie witryny. W WordPress Multisite może to pozwolić administratorowi podstrony zmieniać stan zatwierdzenia i logowania kont należących do innych witryn w sieci.
Ocena ryzyka
Administrator podstrony może wpływać na dostęp kont z innych witryn sieci, potencjalnie blokując lub odblokowując logowanie nieuprawnionym osobom. Narusza to izolację uprawnień w multisite.
Rekomendacja
Zaktualizuj wtyczkę Essential Addons for Elementor do wersji 6.8.7 lub nowszej. Zweryfikuj stan zatwierdzeń kont w sieci multisite.
Inne podatności w Essential Addons for Elementor WordPress plugin
Zobacz wszystkie- CVE-2026-110508Średnie
Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie stosuje wymogu zatwierdzenia przez administratora do kont rejestrowanych przez przepływ jednorazowego hasła e-mail. Gdy obie funkcje są włączone, niezalogowani użytkownicy mogą zarejestrować się i zalogować bez zatwierdzenia przez administratora.
- CVE-2026-110510Niskie
Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie waliduje ustawienia tagu HTML niektórych swoich widgetów przed użyciem go do budowy znaczników. Może to pozwolić użytkownikom z rolą author i wyższą na wstrzykiwanie elementów iframe i formularzy do opublikowanych stron.
- CVE-2026-18039Wysokie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.7.2 nie zapobiega nadpisywaniu zarezerwowanych atrybutów konta przez pola rejestracyjne dostarczane przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym rejestrację konta z dowolną rolą, w tym administratorem, na stronach, gdzie skonfigurowano niestandardowe pole profilu z określoną etykietą.
Oryginalny opis (angielski, źródło NVD)
The Essential Addons for Elementor WordPress plugin before 6.8.7 does not verify that an administrator may manage the specific user accounts targeted by its login-approval feature, checking only a site-level capability, which on WordPress Multisite could allow a subsite administrator to change the approval and login state of accounts belonging to other sites on the network.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS