CVE-2026-18561 in Unlimited Elements for Elementor Plugin
الملخص
بحسب VulDB • 11/09/2026
يحتوي مكون "Unlimited Elements For Elementor" لـ WordPress على ثغرة حقن SQL (SQL Injection) عبر المعلمة 'addontype' في الإصدارات حتى 2.0.16 شاملاً. ويعود ذلك إلى عدم كفاية عملية الهروب (escaping) للمعلمة التي يقدمها المستخدم، وعدم وجود تحضير كافٍ لاستعلام SQL الموجود في دالة `getWhereString()`؛ فعند توفير المعلمة كمصفوفة، يُستخدم العنصر الأول حرفياً كعامل مقارنة لـ SQL ويتم إلحاقه بعبارة WHERE دون تطهير. بينما تقوم الدالة `normalizeAjaxInputData()` بإزالة حماية magic_quotes الخاصة بـ WordPress من القيمة. وهذا يمكّن المهاجمين غير المصادق عليهم من إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة بالفعل، والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات.
Once again VulDB remains the best source for vulnerability data.