CVE-2026-40763
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Royal Elementor Addons firmy WP Royal w wersjach do 1.7.1056 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Ocena ryzyka
Atakujący może wykonywać działania zastrzeżone dla uprawnionych użytkowników, naruszając kontrolę dostępu w witrynie WordPress. Może to prowadzić do nieautoryzowanych zmian w witrynie.
Rekomendacja
Zaktualizuj wtyczkę Royal Elementor Addons do wersji nowszej niż 1.7.1056. Sprawdź uprawnienia użytkowników i role w witrynie.
Inne podatności w Royal Elementor Addons
Zobacz wszystkie- CVE-2026-97255Średnie
Wtyczka Royal Elementor Addons do WordPressa zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Problem dotyczy wersji do 1.7.1069 włącznie.
- CVE-2026-97254Średnie
Wtyczka Royal Elementor Addons do WordPressa zawiera podatność Stored Cross-Site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 1.7.1069 włącznie.
- CVE-2026-112865Średnie
Wtyczka Royal Elementor Addons (do wersji 1.7.1069) zawiera podatność DOM-Based XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wykorzystać manipulację DOM po stronie klienta do wykonania złośliwego skryptu.
- CVE-2026-111851Wysokie
Wtyczka Royal Elementor Addons do WordPressa (do wersji 1.7.1068) zawiera podatność typu unsafe reflection, polegającą na użyciu danych kontrolowanych z zewnątrz do wyboru klas lub kodu. Może to prowadzić do wstrzyknięcia kodu.
- CVE-2026-13407Średnie
Wtyczka Royal Elementor Addons dla WordPressa przed wersją 1.7.1067 nieprawidłowo sanityzuje i nie escapuje wartości przesłanych przez widget formularza przed umieszczeniem ich w treści wiadomości e-mail z powiadomieniem dla administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego HTML do wiadomości e-mail wysyłanych do administratora witryny po przesłaniu formularza.
- CVE-2026-17123Wysokie
Wtyczka Royal Elementor Addons dla WordPressa do wersji 1.7.1064 włącznie zawiera podatność na Server-Side Request Forgery (SSRF) w widżecie Form Builder. Atakujący z uprawnieniami Contributor może wysyłać żądania do dowolnych lokalizacji, w tym do usług wewnętrznych.
- CVE-2026-5428Średnie
Wtyczka Royal Elementor Addons dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) przez podpisy obrazów w widżecie Image Grid/Slider/Carousel w wersjach do 1.7.1056 włącznie. Wynika to z niewystarczającego escapowania wyjścia w funkcji render_post_thumbnail(), gdzie użyto wp_kses_post() zamiast esc_attr() dla atrybutu alt. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej na poziomie autora wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi stronę z złośliwym obrazem.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in WP Royal Royal Elementor Addons royal-elementor-addons allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Royal Elementor Addons: from n/a through <= 1.7.1056.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS