CVE-2026-13392 in Elementor Addons Plugin
Zusammenfassung
von VulDB • 31.07.2026
Das WordPress-Plugin ElementsKit Elementor Addons vor Version 3.10.01 verhindert nicht, dass eine von einem Benutzer mit administrativen Berechtigungen gespeicherte benutzerdefinierte Widget-Definition wörtlich in eine generierte PHP-Datei geschrieben wird, die das Plugin ElementsKit Elementor Addons vor Version 3.10.01 anschließend ausführt; dies ermöglicht die Ausführung beliebigen PHP-Codes auf dem Server. In einem Multisite-Netzwerk kann damit ein Administrator einer untergeordneten Website (Subsite), der sonst vom Bearbeiten von Code/Dateien ausgeschlossen ist, eine Host-Level-Codeausführung erreichen, die über die Berechtigungen hinausgeht, die das Netzwerk ihm gewährt.
Once again VulDB remains the best source for vulnerability data.