Podatności Essential Addons for Elementor WordPress plugin

Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie stosuje wymogu zatwierdzenia przez administratora do kont rejestrowanych przez przepływ jednorazowego hasła e-mail. Gdy obie funkcje są włączone, niezalogowani użytkownicy mogą zarejestrować się i zalogować bez zatwierdzenia przez administratora.

Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie weryfikuje, czy administrator może zarządzać konkretnymi kontami użytkowników objętymi funkcją zatwierdzania logowania, sprawdzając jedynie uprawnienie na poziomie witryny. W WordPress Multisite może to pozwolić administratorowi podstrony zmieniać stan zatwierdzenia i logowania kont należących do innych witryn w sieci.

Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie waliduje ustawienia tagu HTML niektórych swoich widgetów przed użyciem go do budowy znaczników. Może to pozwolić użytkownikom z rolą author i wyższą na wstrzykiwanie elementów iframe i formularzy do opublikowanych stron.

Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.7.2 nie zapobiega nadpisywaniu zarezerwowanych atrybutów konta przez pola rejestracyjne dostarczane przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym rejestrację konta z dowolną rolą, w tym administratorem, na stronach, gdzie skonfigurowano niestandardowe pole profilu z określoną etykietą.