CVE-2026-85016
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Unlimited Elements for Elementor w wersji przed 2.0.21 nie escapuje wartości ikony przed włączeniem jej do atrybutu HTML w swoim współdzielonym procesorze parametrów widżetu. Umożliwia to użytkownikom z dostępem współpracownika (którzy nie mają uprawnień unfiltered_html) zapisanie ładunku, który wykonuje się podczas renderowania strony.
Ocena ryzyka
Atakujący z uprawnieniami współpracownika może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce odwiedzających, co może prowadzić do kradzieży sesji lub innych ataków. Ryzyko dotyczy witryn z podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę Unlimited Elements for Elementor do wersji 2.0.21 lub nowszej. Sprawdź istniejące treści utworzone przez współpracowników pod kątem wstrzykniętych skryptów.
Inne podatności w Unlimited Elements for Elementor
Zobacz wszystkie- CVE-2026-103341Średnie
Wtyczka Unlimited Elements For Elementor ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji do 2.0.20 włącznie.
- CVE-2026-103338Wysokie
Wtyczka Unlimited Elements For Elementor (Free Widgets, Addons, Templates) do WordPressa zawiera podatność SQL Injection (Blind SQL Injection) wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Problem dotyczy wersji od początku istnienia do 2.0.20 włącznie.
- CVE-2026-66608Średnie
Wtyczka Unlimited Elements For Elementor w wersjach do 2.0.19 włącznie zawiera podatność typu Server Side Request Forgery (SSRF). Użytkownik z uprawnieniami Contributor może wymusić na serwerze wykonanie żądań do dowolnych zasobów.
- CVE-2026-103355Krytyczne
Wtyczka Unlimited Elements For Elementor do wersji 2.0.20 zawiera podatność na ślepą iniekcję SQL. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych bez znajomości jej struktury.
- CVE-2026-62121Średnie
Wtyczka Unlimited Elements For Elementor w wersjach do 2.0.26 zawiera podatność nieprawidłowej kontroli nazwy pliku w instrukcjach include/require w PHP (PHP Remote File Inclusion), umożliwiającą lokalne włączenie pliku (PHP Local File Inclusion).
- CVE-2026-62023Średnie
Wtyczka Unlimited Elements For Elementor w wersjach do 2.0.26 zawiera podatność braku autoryzacji. Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-115593Wysokie
W wtyczce Unlimited Elements For Elementor firmy Unlimited Elements występuje podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiająca odbity XSS. Problem dotyczy wersji od nieznanej do 2.0.24 włącznie.
- CVE-2026-95534Wysokie
Wtyczka WordPress Unlimited Elements For Elementor do wersji 2.0.19 jest podatna na deserializację niezaufanych danych, co pozwala na wstrzyknięcie obiektu.
- CVE-2026-94662Wysokie
Podatność typu Stored XSS w wtyczce Unlimited Elements For Elementor. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony internetowej umożliwia trwałe wstrzyknięcie złośliwego skryptu, który wykonuje się przy każdym wyświetleniu strony. Problem dotyczy wersji od n/a do 2.0.19.
- CVE-2026-105064Średnie
Podatność użycia zewnętrznie kontrolowanych danych wejściowych do wyboru klas lub kodu (Unsafe Reflection) w Unlimited Elements For Elementor (Free Widgets, Addons, Templates) unlimited-elements-for-elementor umożliwia wstrzyknięcie parametrów. Problem dotyczy wtyczki w wersjach od n/a do 2.0.22.
Oryginalny opis (angielski, źródło NVD)
The Unlimited Elements for Elementor WordPress plugin before 2.0.21 does not escape an icon value before concatenating it into an HTML attribute in its shared widget-parameter processor, allowing users with Contributor access (who do not hold unfiltered_html) to store a payload that executes when the page is rendered.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS