CVE-2026-97255
ŚrednieCVSS 5.3Streszczenie
Wtyczka Royal Elementor Addons do WordPressa zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Problem dotyczy wersji do 1.7.1069 włącznie.
Ocena ryzyka
Atakujący może wykorzystać błędnie skonfigurowane poziomy kontroli dostępu, aby uzyskać dostęp do funkcji lub danych, do których nie powinien mieć uprawnień.
Rekomendacja
Zaktualizuj wtyczkę Royal Elementor Addons do wersji nowszej niż 1.7.1069.
Inne podatności w Royal Elementor Addons
Zobacz wszystkie- CVE-2026-97254Średnie
Wtyczka Royal Elementor Addons do WordPressa zawiera podatność Stored Cross-Site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 1.7.1069 włącznie.
- CVE-2026-112865Średnie
Wtyczka Royal Elementor Addons (do wersji 1.7.1069) zawiera podatność DOM-Based XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wykorzystać manipulację DOM po stronie klienta do wykonania złośliwego skryptu.
- CVE-2026-111851Wysokie
Wtyczka Royal Elementor Addons do WordPressa (do wersji 1.7.1068) zawiera podatność typu unsafe reflection, polegającą na użyciu danych kontrolowanych z zewnątrz do wyboru klas lub kodu. Może to prowadzić do wstrzyknięcia kodu.
- CVE-2026-13407Średnie
Wtyczka Royal Elementor Addons dla WordPressa przed wersją 1.7.1067 nieprawidłowo sanityzuje i nie escapuje wartości przesłanych przez widget formularza przed umieszczeniem ich w treści wiadomości e-mail z powiadomieniem dla administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego HTML do wiadomości e-mail wysyłanych do administratora witryny po przesłaniu formularza.
- CVE-2026-17123Wysokie
Wtyczka Royal Elementor Addons dla WordPressa do wersji 1.7.1064 włącznie zawiera podatność na Server-Side Request Forgery (SSRF) w widżecie Form Builder. Atakujący z uprawnieniami Contributor może wysyłać żądania do dowolnych lokalizacji, w tym do usług wewnętrznych.
- CVE-2026-5428Średnie
Wtyczka Royal Elementor Addons dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) przez podpisy obrazów w widżecie Image Grid/Slider/Carousel w wersjach do 1.7.1056 włącznie. Wynika to z niewystarczającego escapowania wyjścia w funkcji render_post_thumbnail(), gdzie użyto wp_kses_post() zamiast esc_attr() dla atrybutu alt. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej na poziomie autora wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi stronę z złośliwym obrazem.
- CVE-2026-40763Średnie
Wtyczka Royal Elementor Addons firmy WP Royal w wersjach do 1.7.1056 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key vulnerability in WProyal Royal Elementor Addons royal-elementor-addons allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Royal Elementor Addons: from n/a through 1.7.1069.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS