CVE-2026-12276
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka LA-Studio Element Kit dla Elementor WordPress przed wersją 1.6.1 nie sprawdza, czy rejestracja użytkowników jest włączona na stronie przed utworzeniem konta przez jedną z jej nieuwierzytelnionych akcji AJAX. Umożliwia to nieuwierzytelnionym atakującym rejestrację nowych kont, nawet gdy rejestracja jest wyłączona globalnie.
Ocena ryzyka
Organizacja może zostać zalana fałszywymi kontami użytkowników, co zwiększa ryzyko ataków socjotechnicznych, spamowania lub eskalacji uprawnień, jeśli konta uzyskają dostęp do wrażliwych funkcji.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę LA-Studio Element Kit do wersji 1.6.1 lub nowszej, która zawiera poprawkę uniemożliwiającą rejestrację bez sprawdzenia ustawień witryny.
Inne podatności w LA-Studio Element Kit
Zobacz wszystkie- CVE-2026-103082Wysokie
Podatność Server-Side Request Forgery (SSRF) w LA-Studio Element Kit dla Elementor (lastudio-element-kit) umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów. Problem dotyczy wersji od n/a do 1.6.2.
- CVE-2026-15338Wysokie
Wtyczka LA-Studio Element Kit dla Elementor do WordPressa jest podatna na lokalne dołączanie plików (LFI) we wszystkich wersjach do 1.6.1 włącznie, poprzez funkcję get_type_template. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym dołączanie i wykonywanie dowolnych plików .php na serwerze.
Oryginalny opis (angielski, źródło NVD)
The LA-Studio Element Kit for Elementor WordPress plugin before 1.6.1 does not check whether user registration is enabled on the site before creating an account through one of its unauthenticated AJAX actions, allowing unauthenticated attackers to register new accounts even when registration has been disabled site-wide.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS