CVE-2026-110808
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Essential Addons for Elementor w wersjach przed 6.8.8 nieprawidłowo ogranicza możliwość ustawiania roli dla kont tworzonych przez formularz rejestracyjny. Użytkownicy z uprawnieniami na poziomie Author i wyższym mogą spowodować nadanie nowo zarejestrowanym kontom, w tym utworzonym przez niezalogowanych odwiedzających, wyższej roli, np. Editor. Poprawka z wersji 6.6.0 jest niekompletna i można ją obejść, więc wersje od 6.6.0 do 6.8.7 pozostają podatne.
Ocena ryzyka
Atakujący z kontem Author lub wyższym może eskalować uprawnienia nowych kont do roli Editor, co daje możliwość modyfikacji treści i większej kontroli nad witryną. Może to prowadzić do przejęcia kontroli nad treściami lub dalszej eskalacji uprawnień.
Rekomendacja
Zaktualizuj wtyczkę Essential Addons for Elementor do wersji 6.8.8 lub nowszej. Sprawdź, czy w witrynie nie ma kont z nieoczekiwanie wysokimi rolami utworzonymi przez formularz rejestracyjny.
Inne podatności w Essential Addons for Elementor
Zobacz wszystkie- CVE-2026-110898Średnie
Wtyczka Essential Addons for Elementor w wersji do 6.8.5 zawiera podatność nieprawidłowego przypisania uprawnień, umożliwiającą eskalację uprawnień. Problem wynika z błędów w kontroli uprawnień w komponencie wtyczki.
- CVE-2026-102394Średnie
Wtyczka Essential Addons for Elementor do WordPressa zawiera podatność na Stored XSS (przechowywany skrypt między witrynami) w wersjach do 6.8.4 włącznie. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce administratora lub innego użytkownika.
- CVE-2026-6459Średnie
Wtyczka Essential Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) w widżecie Kalendarza wydarzeń. Podatność występuje we wszystkich wersjach do 6.6.2 włącznie, z powodu niewystarczającego oczyszczania danych wejściowych i wyjściowych dla tytułów wydarzeń pochodzących z The Events Calendar.
- CVE-2026-7665Średnie
Wtyczka Essential Addons for Elementor dla WordPressa w wersjach do 6.6.4 włącznie zawiera podatność na ujawnienie informacji poprzez funkcję ajax_load_more. Niezautoryzowani atakujący mogą wyodrębnić dane z chronionych hasłem, prywatnych lub szkicowych postów.
- CVE-2026-118205Wysokie
Wtyczka Essential Addons for Elementor dla WordPressa w wersjach do 6.8.7 włącznie jest podatna na eskalację uprawnień poprzez parametr page_id funkcji register_user(). Nieuwierzytelniony atakujący może zarejestrować konto z rolą nawet Editor, wykorzystując stan rewizji i obejście nonce. Wymagane jest włączenie rejestracji i wcześniejsze zapisanie i cofnięcie niestandardowej roli przez administratora.
- CVE-2026-110509Średnie
Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie ogranicza typu posta ani zapytania meta, które nieuwierzytelniony odwiedzający może przekazać do endpointu paginacji. Może to pozwolić na odczyt treści niepublicznych typów postów oraz odzyskanie wartości prywatnych pól niestandardowych na opublikowanych postach.
- CVE-2026-81777Średnie
Podatność polegająca na obejściu uwierzytelniania przez spoofing w WPDeveloper Essential Addons for Elementor umożliwia podszywanie się pod tożsamość. Problem dotyczy wersji od n/a do 6.8.0.
- CVE-2026-13345Średnie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.6.10 nie wykonuje autoryzacji, sprawdzenia statusu ani widoczności podczas rozwiązywania produktów WooCommerce w funkcji porównywania produktów. Pozwala to nieuwierzytelnionym użytkownikom na ujawnienie tytułu, ceny i SKU produktów w wersji roboczej, oczekujących i prywatnych, które w przeciwnym razie są ukryte przed publicznym widokiem.
- CVE-2026-13344Średnie
Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.6.10 nie waliduje nazwy tagu HTML tytułu widżetu tabeli cen przed jego wyświetleniem. Pozwala to użytkownikom z dostępem na poziomie współautora i wyższym na wstrzyknięcie JavaScript, który zostanie wykonany (Stored Cross-Site Scripting) podczas przeglądania strony, w tym w sesji administratora podglądającego lub odwiedzającego post.
- CVE-2026-15145Średnie
Wtyczka Essential Addons for Elementor dla WordPressa jest podatna na trwałe ataki XSS poprzez widżet Fancy Text we wszystkich wersjach do 6.6.11 włącznie. Podatność wynika z niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów internetowych na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The Essential Addons for Elementor WordPress plugin before 6.8.8 does not correctly restrict who may set the role assigned to accounts created through its registration form, allowing authenticated users with Author-level access and above to cause newly registered accounts, including those created by unauthenticated visitors through the public registration form, to be granted a higher role such as Editor. This is an incomplete fix of CVE-2026-5193: the role-validation control added in 6.6.0 can be circumvented by a lower-privileged user, so versions 6.6.0 through 6.8.7 remain affected even on sites that are patched against that advisory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS