CVE-2026-11390
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka News Kit Addons For Elementor dla WordPressa do wersji 1.4.6 włącznie zawiera podatność na przechowywany atak XSS. Luka występuje w widżetach Site Logo Title i Single Author Box z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych.
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się przy każdym odwiedzeniu zainfekowanej strony, co może prowadzić do kradzieży sesji, defacementu lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę News Kit Addons For Elementor do najnowszej dostępnej wersji, która usuwa tę podatność. Dodatkowo warto ograniczyć uprawnienia użytkowników do niezbędnego minimum.
Inne podatności w News Kit Addons For Elementor
Zobacz wszystkie- CVE-2026-97353Średnie
Wtyczka WordPress News Kit Addons For Elementor do wersji 1.4.7 nie sprawdza uprawnień ani własności przed aktualizacją metadanych postów w jednej z akcji AJAX. Umożliwia to użytkownikom z poziomem subskrybenta i wyższym zapis dowolnych metadanych pod wybranymi przez atakującego kluczami do dowolnego posta, w tym należącego do innych użytkowników.
- CVE-2026-97352Średnie
Wtyczka WordPress News Kit Addons For Elementor przed wersją 1.4.9 nie sprawdza uprawnień w jednej ze swoich akcji AJAX. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym instalację i aktywację określonej wtyczki z repozytorium WordPress.org.
Oryginalny opis (angielski, źródło NVD)
The News Kit Addons For Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Site Logo Title and Single Author Box Widgets in all versions up to, and including, 1.4.6 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires an attacker to intercept and modify the elementor_ajax AJAX save request in order to bypass the client-side SELECT control restrictions and submit arbitrary tag-name values.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS