CVE-2026-94168

Podatność Cross Site Scripting (XSS) w wtyczce Premium Addons for Elementor w wersjach do 4.11.105. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony.

Wtyczka Premium Addons for Elementor zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.11.110.

Wtyczka Premium Addons for Elementor do wersji 4.11.110 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu wstrzyknięcie złośliwego skryptu, który będzie wykonywany w przeglądarce innych użytkowników.

Wtyczka Premium Addons for Elementor (LeapWorx) zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od n/a do 4.11.110.

Wtyczka Premium Addons for Elementor do WordPressa zawiera podatność na Stored XSS (trwały cross-site scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 4.11.109 włącznie.

Wtyczka Premium Addons for Elementor do WordPressa jest podatna na przechowywane ataki XSS poprzez parametr 'premium_tooltip_text' w wersjach do 4.11.84 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym na wstrzykiwanie dowolnych skryptów.

Wtyczka Premium Addons for Elementor (Leap13) w wersjach do 4.11.53 włącznie jest podatna na ujawnienie wrażliwych informacji systemowych nieuprawnionemu podmiotowi, co pozwala na odzyskanie osadzonych wrażliwych danych.

Wtyczka Premium Addons for Elementor dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 4.11.53 włącznie. Brak walidacji nonce w funkcji 'insert_inner_template' umożliwia nieuwierzytelnionym atakującym tworzenie dowolnych szablonów Elementor poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora lub użytkownika z uprawnieniami edit_posts do wykonania akcji, np. kliknięcia linku.

Wtyczka Premium Addons for Elementor dla WordPress w wersjach do 4.11.53 włącznie jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji 'get_template_content'. Umożliwia to nieuwierzytelnionym atakującym przeglądanie zawartości prywatnych, roboczych i oczekujących szablonów.